Accordo sul trattamento dei dati

Art. 1 — Parti e ambito

Questo accordo è concluso fra il Cliente, titolare del trattamento, e NEURALWORD S.r.l., partita IVA IT03570180244, responsabile del trattamento ai sensi dell’art. 28 del Regolamento (UE) 2016/679 (GDPR). Si applica ai dati personali che TrustInsider tratta per conto del Cliente nell’erogazione del servizio e fa parte dei Termini del servizio. I termini con l’iniziale maiuscola hanno il significato dei Termini e del GDPR.

Art. 2 — Oggetto, durata, natura e finalità

TrustInsider tratta i dati per la durata del contratto e per il tempo necessario a restituirli o cancellarli, al solo fine di erogare le funzioni scelte dal Cliente: lettura delle integrazioni, monitoraggio, report, Ask, gestione delle pagine e delle newsletter ospitate, pubblicazione verso le destinazioni autorizzate. Le categorie di dati e di interessati sono descritte nell’allegato 1.

Art. 3 — Istruzioni del Cliente

TrustInsider tratta i dati solo su istruzione documentata del Cliente, che consiste in questo accordo, nei Termini e nelle configurazioni che il Cliente imposta nel servizio, salvo che il diritto dell’Unione o di uno Stato membro lo imponga; in tal caso ne informa il Cliente, se la legge lo consente. Se ritiene che un’istruzione violi la normativa, TrustInsider lo segnala subito al Cliente. Il Cliente garantisce la liceità dei dati e delle istruzioni.

Art. 4 — Riservatezza e personale

Le persone autorizzate a trattare i dati sono vincolate alla riservatezza e accedono solo a quanto serve per il loro compito. L’accesso del personale ai dati del Cliente è limitato, registrato e motivato, per esempio per l’assistenza richiesta dal Cliente.

Art. 5 — Sicurezza

TrustInsider applica le misure tecniche e organizzative dell’allegato 2, adeguate al rischio ai sensi dell’art. 32 GDPR, e può aggiornarle purché il livello di protezione non diminuisca.

Art. 6 — Sub-responsabili

Il Cliente autorizza in via generale TrustInsider a ricorrere ai sub-responsabili elencati nell’allegato 3. TrustInsider impone loro, per contratto, obblighi di protezione dei dati non inferiori a quelli di questo accordo e risponde del loro operato. Prima di aggiungere o sostituire un sub-responsabile, TrustInsider aggiorna l’elenco su questa pagina e ne dà avviso ai Clienti con un piano a pagamento almeno 30 giorni prima; il Cliente può opporsi per motivi ragionevoli legati alla protezione dei dati e, se non si trova una soluzione, recedere senza penali con rimborso della parte già pagata e non goduta.

Art. 7 — Trasferimenti internazionali

I dati possono essere trasferiti fuori dallo Spazio economico europeo solo verso sub-responsabili coperti da una decisione di adeguatezza, dall’EU-U.S. Data Privacy Framework o dalle clausole contrattuali standard della decisione (UE) 2021/914, con le misure supplementari necessarie. Per i trasferimenti che lo richiedono, le parti convengono che si applicano le clausole contrattuali standard, modulo 2 o modulo 3, che si intendono incorporate in questo accordo.

Art. 8 — Assistenza al Cliente

Tenendo conto della natura del trattamento, TrustInsider assiste il Cliente con misure adeguate per rispondere alle richieste degli interessati, inoltrandogli senza ritardo quelle ricevute direttamente, e lo assiste negli obblighi di sicurezza, di notifica delle violazioni, di valutazione d’impatto e di consultazione preventiva (artt. 32-36 GDPR), con le informazioni di cui dispone.

Art. 9 — Violazioni dei dati

TrustInsider notifica al Cliente ogni violazione dei dati personali trattati per suo conto senza ingiustificato ritardo e comunque entro 48 ore da quando ne ha avuto conoscenza, all’indirizzo email dell’account, con le informazioni dell’art. 33.3 GDPR disponibili in quel momento, integrandole appena possibile, e adotta subito le misure per contenerla. Il Cliente può segnalare incidenti a privacy@trustinsider.com.

Art. 10 — Restituzione e cancellazione

Durante il contratto il Cliente può esportare i propri dati dall’area riservata. Alla fine del contratto TrustInsider cancella o rende anonimi i dati trattati per conto del Cliente entro 30 giorni, salvo che il diritto dell’Unione o di uno Stato membro ne imponga la conservazione; le copie di sicurezza cifrate si sovrascrivono secondo il loro ciclo ordinario.

Art. 11 — Informazioni e audit

TrustInsider mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto di questo accordo. Il Cliente può svolgere, o far svolgere da un revisore indipendente vincolato alla riservatezza, un audit all’anno con un preavviso di almeno 30 giorni, senza ostacolare il servizio né accedere ai dati di altri clienti; i costi dell’audit sono a carico del Cliente, salvo che emerga una violazione rilevante. Sono sempre possibili gli audit richiesti da un’autorità di controllo.

Art. 12 — Responsabilità e prevalenza

La responsabilità delle parti è regolata dai Termini, nei limiti consentiti dall’art. 82 GDPR. In materia di protezione dei dati questo accordo prevale sui Termini; le clausole contrattuali standard, quando si applicano, prevalgono su entrambi. Una copia firmata dell’accordo è disponibile per i Clienti Enterprise che la richiedono a privacy@trustinsider.com.

Allegato 1 — Descrizione del trattamento

• Interessati: utenti autorizzati del Cliente; visitatori del sito del Cliente, in forma aggregata, tramite le integrazioni di statistica; iscritti alle newsletter e compilatori dei moduli delle pagine ospitate per il Cliente; persone citate nei contenuti che il Cliente carica o pubblica.
• Categorie di dati: dati di contatto e di account, statistiche di traffico e di ricerca normalmente aggregate, contenuti e documenti, identificativi degli account collegati, registri delle operazioni. Nessuna categoria particolare di dati è richiesta: il Cliente si impegna a non inserirne.
• Operazioni: raccolta tramite integrazioni autorizzate, conservazione, analisi, elaborazione con modelli di intelligenza artificiale, generazione di report e bozze, pubblicazione verso destinazioni autorizzate, cancellazione.

Allegato 2 — Misure tecniche e organizzative

• Cifratura in transito (HTTPS con HSTS) e cifratura a riposo della banca dati e delle copie di sicurezza; cifratura applicativa delle credenziali delle integrazioni con chiavi custodite solo nell’ambiente di produzione.
• Controllo degli accessi: accesso con collegamento monouso, verifica in due passaggi, ruoli per spazio di lavoro, accesso unico SSO e provisioning SCIM per il piano Enterprise; accessi amministrativi limitati e registrati.
• Separazione dei dati per spazio di lavoro, minimizzazione dei dati inviati ai fornitori di modelli e mascheramento dei dati riservati nei registri degli assistenti.
• Protezione del perimetro: intestazioni di sicurezza, limiti alle richieste, protezione anti-bot, firma verificata dei webhook, segreti solo nelle variabili d’ambiente.
• Continuità: copie di sicurezza cifrate, ripristino a un istante della banca dati, monitoraggio degli errori e dello stato dei servizi.
• Conservazione limitata con cancellazione automatica alla scadenza, procedura documentata di gestione delle violazioni e revisione periodica delle misure.

Allegato 3 — Sub-responsabili

L’elenco è aggiornato a ogni cambiamento. I fornitori indicati come titolari autonomi trattano i dati per conto proprio, secondo le loro condizioni, quando il Cliente collega o usa i loro servizi.