Accordo per l'elaborazione dei dati

1.1. Oggetto. Al fine di adempiere agli obblighi previsti dal Contratto, l’Utente impartisce istruzioni e l’Amministrazione si impegna a trattare i dati personali di terzi raccolti o altrimenti trattati tramite le funzionalità della Piattaforma.

Le disposizioni del DPA costituiscono istruzioni documentate dell’Utente ai sensi della normativa vigente in materia di protezionedei dati.

1.2. Categorie di interessati. Ai fini del DPA, i terzi possono includere qualsiasi persona fisica, tra cui:
1) dipendenti , consulenti, appaltatori, partner commerciali e persone di contatto le cui informazioni sono pubblicate o rese disponibili in altro modo nell'ambito del Progetto dell'Utente;
2) candidati , clienti o partner attuali o potenziali dell'Utente che inviano dati personali tramite moduli di raccolta dati nell'ambito del Progetto dell'Utente;
3) visitatori del Progetto dell'Utente le cui informazioni vengono raccolte automaticamente.

1.3. Finalità del trattamento e categorie di dati personali. L’Amministrazione tratterà i dati personali per conto dell’Utente nell’ambito delle seguenti finalità:

1.4. Limitazioni al trattamento dei dati. L'Utente valuta autonomamente la liceità del trattamento dei dati personali sulla Piattaforma, nonché la possibilità di autorizzare l'Amministrazione a trattare tali dati. L'Utente accetta e riconosce che:
1) l'Amministrazione non tratta dati personali relativi alla salute, dati genetici, dati biometrici o altre categorie particolari di dati personali;
2) tLa funzione che consente di pubblicare contenuti sui Progetti non è destinata alla pubblicazione di immagini contenenti dati personali, comprese le foto di persone e le copie digitalizzate di documenti.

1.5. Durata del trattamento. L'Amministrazione tratterà i dati personali di terzi per tutta la durata del Contratto o per qualsiasi periodo supplementare necessario all'adempimento degli obblighi previsti dal Contratto, fino a quando tali dati non saranno cancellati secondo le procedure stabilite nel DPA.

2.1. Organizing Personal Data Processing on the Platform. The User, being the data controller, independently organizes the processing of personal data of individuals on the Platform. The User determines the purposes and grounds for processing personal data, its composition, list of actions and operations to be performed.

2.2. Ensuring Legal Compliance. When processing personal data on the Project, the User shall independently ensure compliance with the applicable legislation. In particular, the User without the Administration involved:
1) establishes the procedure for collecting consents to the processing of personal data on the Project, including the use of data collection forms and/or analytics services;
2) publishes a privacy policy or privacy notice on the Project;
3) appoints responsible persons and develops a set of internal documents regulating data processing.

2.3. Existence of a Legal Ground. By processing personal data on the Platform, the User represents and warrants that they have obtained the consents of the subjects or other legal ground for processing the data and its transfer to the Administration under the DPA.

At the request of the Administration sent to the User's e-mail address specified in the Account, the User undertakes to provide documents confirming the existence of legal grounds for processing within 24 hours of receipt of the request.

2.4. Connecting Third-Party Services. When using the Platform, the User may be offered to connect Third-Party Services that collect or otherwise process personal data, including data collection services, payment systems, delivery services, AI agents, and other external services connected via the MCP protocol.

Data processing by Third-Party Services is performed by their owners acting independently of the Administration and not acting in the name of and/or on behalf of the Administration. The Administration is not responsible for processing of personal data by owners of Third-Party Services.

The User undertakes to independently ensure the lawfulness of personal data processing when connecting Third-Party Services, including issue of separate instructions for processing with their owners.

2.5. Cross-Border Transfers. When using the Platform’s functionality, cross-border transfer of personal data of third parties may occur on the User's initiative, in particular, when:
1) changing the User’s profile country;
2) granting access to a Project to a User with another profile country;
3) transferring a Project to the Account of a User with another profile country.
4) connecting Third-Party Services to the Project.

The User undertakes to independently ensure the security of the cross-border transfer of personal data in accordance with the requirements of applicable legislation.

3.1. Trasferimenti a terzi. L'Amministrazione trasferisce i dati personali, sulla base di accordi sul trattamento dei dati, ai seguenti responsabili del trattamento:
1) Hetzner Online GmbH – per l'archiviazione dei dati personali su server;
2) G-Core Labs SA – per l'archiviazione e il backup dei Progetti degli Utenti;
3) Google Cloud EMEA Limited – per garantire la sicurezza delle informazioni relative ai Progetti.

Con la presente, l'Utente concede all'Amministrazione un'autorizzazione generale scritta ad avvalersi dei responsabili del trattamento specificati per il trattamento dei dati personali.

Tutti i responsabili del trattamento che trattano i dati personali per conto dell'Amministrazione si impegnano a rispettare le misure di riservatezza, protezione e sicurezza richieste dalla legislazione applicabile.

Fatte salve le limitazioni di responsabilità qui stabilite, l'Amministrazione rimane responsabile nei confronti dell'Utente per gli atti e/o le omissioni dei responsabili del trattamento incaricati.

3.2. Modifiche all'elenco dei responsabili del trattamento incaricati. L'Amministrazione ha il diritto di coinvolgere altre terze parti nel trattamento dei dati personali, previa notifica all'Utente. La notifica viene inviata all'indirizzo e-mail utilizzato per l'autorizzazione sulla Piattaforma, oppure tramite la pubblicazione delle informazioni pertinenti nell'Account personale.

L'Utente ha il diritto di presentare obiezioni motivate alla modifica dell'elenco dei responsabili del trattamento incaricati entro 10 giorni dalla data di notifica. Allo stesso tempo, l'Utente comprende e riconosce che:
1) il coinvolgimento di terzi può essere necessario per il corretto adempimento degli obblighi dell'Amministrazione ai sensi del Contratto;
2) in caso di ricezione di obiezioni, l'Amministrazione può risolvere unilateralmente il Contratto in via extragiudiziale.

3.3. Sicurezza dei trasferimenti transfrontalieri. L'Amministrazione effettua trasferimenti transfrontalieri di dati personali sul territorio di:
1) Statimembri dell'Unione Europea – a fini di archiviazione e sicurezza delle informazioni;
2) Stati Uniti d'America – per l'archiviazione e il backup dei Progetti dell'Utente.

Prima di avviare un trasferimento transfrontaliero, l'Amministrazione determinerà se il paese verso cui vengono trasferiti i dati personali è riconosciuto come fornente un livello adeguato di protezione dei dati in conformità con la legge applicabile.

In caso di trasferimento di dati personali verso un paese che non garantisce il livello di protezione richiesto, l'Amministrazione si impegna a stipulare clausole contrattuali standard con il destinatario o a garantire l'applicazione di norme aziendali vincolanti.

4.1. Misure attuate. L'Amministrazione garantisce la riservatezza e assicura la sicurezza dei dati personali in conformità con la legislazione vigente, tra cui:
1) la tenuta di registri delle attività di trattamento;
2) la definizione di un elenco delle persone autorizzate a raccogliere e trattare i dati personali o ad accedervi;
3) l'istituzione di procedure di controllo dell'accesso ai dati personali;
4) l'uso di canali di comunicazione sicuri e della crittografia;
5) applicazione di tecniche di pseudonimizzazione, compreso l’uso di ID nei sistemi interni dell’Amministrazione;
6) implementazione di meccanismi di identificazione e/o autenticazione durante il trattamento dei dati personali;
7) utilizzo di sistemi di backup e ripristino;
8) valutazione e gestione dei rischi per la sicurezza delle informazioni;
9) inserimento dei requisiti di protezione e sicurezza dei dati nei contratti e/o negli accordi sul trattamento dei dati con i fornitori di servizi;
10) conduzione di audit tecnici periodici.

4.2. Violazione dei dati personali. Nel caso in cui venga individuata una violazione dei dati personali, che comporti la distruzione, la perdita, l’alterazione, la divulgazione non autorizzata e/o l’accesso accidentale o illecito ai dati personali di terzi, l’Amministrazione è tenuta a notificare all’Utente tale violazione senza indebito ritardo.

La notifica deve includere una descrizione della natura della violazione, delle possibili conseguenze per gli interessati e delle misure che l’Amministrazione ha adottato e/o intende adottare per mitigare tali conseguenze.

Allo stesso tempo, l'Utente comprende e riconosce che la notifica di una violazione dei dati personali non può in alcun caso essere considerata un'ammissione di colpa e/o responsabilità da parte dell'Amministrazione.

5.1. Fornitura di informazioni e verifiche. Su richiesta dell'Utente, durante la vigenza del DPA, l'Amministrazione è tenuta a fornire documenti e altre informazioni che confermino l'adozione e il rispetto delle misure necessarie all'esecuzione del DPA. Tuttavia, l'Utente può presentare tali richieste non più di una volta ogni 3 mesi.

Su richiesta scritta dell'Utente, l'Amministrazione si impegna a fornire assistenza nello svolgimento di audit o ispezioni, fornendo all'Utente le informazioni necessarie sulle procedure di trattamento dei dati personali.

5.2. Assistenza nell'adempimento degli obblighi. Come regola generale, l'Utente, in qualità di titolare del trattamento dei dati personali, deve garantire autonomamente il rispetto dei requisiti stabiliti dalla legge applicabile.

Tuttavia, tenendo conto della natura del trattamento, su richiesta scritta dell'Utente, l'Amministrazione fornirà assistenza ragionevole nell'adempimento degli obblighi relativi a:
1) garantire la sicurezza del trattamento;
2) preparare le notifiche di violazioni dei dati personali;
3) condurre valutazioni d'impatto sulla protezione dei dati;
4) condurre consultazioni preventive con le autorità di controllo;
5) trattare le richieste degli interessati attuando misure tecniche e organizzative appropriate, nella misura in cui ciò sia fattibile data la natura del trattamento.

6.1. Garanzia dei diritti degli interessati. L'Utente si impegna a trattare i dati personali sulla Piattaforma fino al raggiungimento delle finalità del trattamento. Qualora il consenso al trattamento dei dati personali venga revocato, o vengano meno i motivi che consentono tale trattamento, l’Utente provvederà autonomamente alla cancellazione dei dati personali.

6.2. Procedura di restituzione o cancellazione. A seguito di una richiesta specifica, l’Amministrazione provvederà, a scelta dell’Utente, a cancellare o restituire i dati personali ricevuti dall’Utente entro un termine non superiore a 30 giorni, salvo che la legge applicabile non stabilisca un termine diverso.

L'Amministrazione provvederà inoltre alla cancellazione dei dati personali alla scadenza del periodo di conservazione stabilito sulla Piattaforma o determinato autonomamente dall'Utente. In particolare, quando si utilizzano i moduli di raccolta dati sul Progetto, il periodo di conservazione dei dati sarà impostato tramite le relative impostazioni del Progetto.

Allo stesso tempo, l'Amministrazione avrà il diritto di non cancellare e/o non restituire i dati personali ricevuti dall'Utente qualora il diritto o l'obbligo di conservare tali dati sia previsto dalla legge applicabile.

6.3. Blocchi e restrizioni sulla Piattaforma. In caso di violazione o di ragionevole sospetto che l'Utente abbia violato il Contratto e/o la legislazione applicabile, l'Amministrazione avrà il diritto di bloccare l'account dell'Utente, nonché di adottare altre misure previstedal Contratto.

L'Utente comprende e riconosce che, qualora l'Amministrazione adotti misure amministrative, i dati personali trattati ai sensi del DPA potranno essere cancellati senza possibilità di successivo recupero.

7.1. Liability of the Administration. The Administration shall not be responsible for the actions of the User when processing personal data on the Platform. Any claims, demands or complaints of third parties related to the processing of their personal data should be resolved directly by the User without the Administration involved.

The Administration shall also not be responsible for acts and/or omissions related to the processing of personal data of third parties where the Administration has acted solely in accordance with the User’s instructions.

In any case, the Administration’s liability shall not exceed the amount of the cost of the Plan paid by the User and valid during the period of occurrence of events that are the basis for the emergence of property liability of the Administration.

7.2. User’s Responsibility and Compensation for Losses. The User, being the data controller under the applicable legislation, is individually responsible to the subjects of personal data for the lawfulness of personal data processing.

In the event that a judicial and/or administrative case is initiated against the Administration, a lawsuit is brought, or a claim is made from any party due to the User’s violation of the personal data processing procedure, the User is obliged to compensate the Administration for all losses, including, reasonable legal expenses.

8.1. Legge applicabile. Indipendentemente dalle disposizioni del Contratto, il trattamento dei dati personali ai sensi delle presenti Istruzioni sarà regolato e interpretato in conformità con le leggi degli Emirati Arabi Uniti.

Qualora gli interessati i cui dati personali sono trattati dall’Amministrazione abbiano sede in uno Stato membro dell’Unione Europea e/o dello Spazio Economico Europeo, il trattamento dei dati personali sarà inoltre soggetto alle disposizioni del Regolamento generale sulla protezione dei dati.

8.2. Clausole contrattuali tipo. Il trattamento dei dati personali di persone fisiche situate nell'Unione Europea e/o nello Spazio Economico Europeo da parte dell'Amministrazione è inoltre regolato dalle Clausole Contrattuali Standard.

In conformità con il Regolamento generale sulla protezione dei dati, tali Clausole Contrattuali Standard garantiscono la liceità dei trasferimenti di dati personali verso gli Emirati Arabi Uniti.

In caso di conflitto tra le presenti Istruzioni e le disposizioni delle Clausole Contrattuali Standard, prevarranno le Clausole Contrattuali Standard.