Accordo sul trattamento dei dati personali
Ai sensi dell'art. 28 GDPR, tra il Cliente che usa Kiaro (il «Titolare») e [RAGIONE SOCIALE], P.IVA [P.IVA], [INDIRIZZO] (il «Responsabile»). Fa parte dei termini di servizio e si accetta con loro dall'app.
1. Oggetto e durata
Il Responsabile tratta per conto del Titolare i dati dei contatti che il Titolare carica in Kiaro, al solo scopo di conservarli, organizzarli in liste e inviare le newsletter decise dal Titolare, per la durata del contratto.
2. Dati e interessati
- Interessati: i contatti delle liste del Titolare (clienti, iscritti alla newsletter).
- Dati: indirizzo email, nome e cognome se forniti, fonte e data del consenso, stato di iscrizione, data di disiscrizione, esito degli invii (inviato, non recapitabile, segnalato come spam).
- Nessuna categoria particolare di dati (art. 9 GDPR): il Titolare si impegna a non caricarne.
3. Istruzioni
Il Responsabile tratta i dati solo su istruzione documentata del Titolare, che coincide con l'uso delle funzioni di Kiaro (import, liste, campagne, invii). Non usa i dati per scopi propri, non li vende e non li comunica a terzi. Se ritiene che un'istruzione violi la normativa, lo segnala subito al Titolare.
4. Invio delle email
Le email partono dall'account Amazon SES del Titolare, con un permesso limitato al solo invio che il Titolare può revocare in ogni momento eliminando lo stack CloudFormation. Amazon Web Services è quindi un fornitore del Titolare, non un sub-responsabile di Kiaro, e Kiaro non conserva credenziali AWS del Titolare.
5. Sub-responsabili
Il Titolare autorizza:
| Fornitore | Servizio | Luogo dei dati |
|---|---|---|
| Neon Inc. | Servizio: Database | Luogo dei dati: Unione Europea (Francoforte) |
| Vercel Inc. | Servizio: Hosting dell'applicazione | Luogo dei dati: Unione Europea (Francoforte) |
| Resend Inc. | Servizio: Email di servizio (accesso, inviti), non le newsletter | Luogo dei dati: Stati Uniti |
Per i fornitori con sede negli Stati Uniti valgono il Data Privacy Framework UE-USA o le Clausole contrattuali standard. Il Responsabile impone ai sub-responsabili gli stessi obblighi di questo accordo e avvisa il Titolare con 30 giorni di anticipo prima di aggiungerne o sostituirne uno; il Titolare può opporsi recedendo dal contratto.
6. Sicurezza (art. 32)
- Dati di ogni Cliente separati a livello di database (Row Level Security).
- Connessioni cifrate (HTTPS), password salvate con hash, seconda verifica disponibile per tutti e obbligatoria per il personale di Kiaro che amministra la piattaforma.
- Ruoli con permessi minimi (proprietario, amministratore, editor, sola lettura) e registro delle operazioni amministrative.
- Backup del database con conservazione di 7 giorni.
- Indirizzi IP e dati dei dispositivi cancellati dopo 30 giorni.
7. Riservatezza e personale
Accedono ai dati solo le persone autorizzate dal Responsabile, vincolate alla riservatezza e solo quando serve per il servizio.
8. Violazioni dei dati
Il Responsabile informa il Titolare di una violazione dei dati senza ingiustificato ritardo e comunque entro 48 ore da quando ne viene a conoscenza, con le informazioni disponibili per la notifica al Garante e agli interessati (artt. 33 e 34).
9. Diritti degli interessati
Il Titolare gestisce le richieste degli interessati con le funzioni di Kiaro: scheda del contatto, scarico dei suoi dati, disiscrizione e cancellazione. Il Responsabile lo assiste per quanto non è possibile fare da solo e gli inoltra le richieste che riceve direttamente.
10. Fine del contratto
Prima della cessazione il Titolare può esportare contatti e dati. Eliminato lo spazio di lavoro, i dati vengono cancellati subito dal database; entro 30 giorni spariscono anche da ogni altra copia e i backup si cancellano alla loro scadenza (7 giorni), salvo obblighi di legge.
11. Verifiche
Il Responsabile mette a disposizione le informazioni necessarie a dimostrare il rispetto di questo accordo e consente verifiche concordate con un preavviso ragionevole. Richieste a [EMAIL].