Accordo sul trattamento dei dati

Il presente Accordo sul trattamento dei dati ("DPA") è stipulato tra te, il cliente ("tu", il titolare del trattamento), e Taras Shynkarenko, che opera come AdaptlyPost, NIP PL 9571091905, Heweliusza 11/811, 80-890 Gdańsk, Polonia ("AdaptlyPost", il responsabile del trattamento).

Si applica quando tratti dati personali tramite AdaptlyPost (il "Servizio"), ad esempio dati sui tuoi clienti, sui membri del tuo team o sul tuo pubblico. È incorporato per riferimento nei nostri Termini di servizio e lo accetti usando il Servizio. Non serve alcuna firma. Se vuoi una copia controfirmata, scrivi a contact@adaptlypost.com.

1. Definizioni

Termini come "dati personali", "trattamento", "titolare del trattamento", "responsabile del trattamento", "interessato", "violazione dei dati personali" e "autorità di controllo" hanno il significato indicato nel GDPR (Regolamento (UE) 2016/679).

Per "Dati personali del cliente" si intendono i dati personali che AdaptlyPost tratta per tuo conto quando fornisce il Servizio. Per "Sub-responsabile" si intende un terzo a cui AdaptlyPost ricorre per trattare i Dati personali del cliente.

2. Ruoli

Tu sei il titolare del trattamento dei Dati personali del cliente e AdaptlyPost è il tuo responsabile del trattamento. Se agisci come responsabile del trattamento per conto di qualcun altro, AdaptlyPost è il tuo sub-responsabile e confermi che il tuo titolare del trattamento lo ha autorizzato.

AdaptlyPost è un titolare del trattamento autonomo per i dati che tratta per finalità proprie, come il tuo account, la fatturazione, la sicurezza e il suo sito web. Questo trattamento è disciplinato dalla nostra Informativa sulla privacy, non dal presente DPA.

3. Oggetto, durata, natura e finalità

• •

  Oggetto: la fornitura del Servizio ai sensi dei Termini.

• •

  Durata: per tutto il tempo in cui usi il Servizio e fino alla cancellazione o alla restituzione dei dati ai sensi della sezione 13.

• •

  Natura: conservazione, organizzazione, trasformazione, trasmissione e cancellazione dei dati. Ciò include la pubblicazione di contenuti sui social network che colleghi, la generazione dei contenuti AI che richiedi, la raccolta di statistiche e l'invio di notifiche.

• •

  Finalità: fornire, far funzionare e supportare il Servizio come descritto nei Termini e nelle tue istruzioni. AdaptlyPost non usa i Dati personali del cliente per addestrare o perfezionare modelli AI.

4. Tipi di dati personali e interessati

A seconda di come usi il Servizio, i Dati personali del cliente possono includere:

• •

  I membri del tuo team e gli utenti invitati: nomi, indirizzi email e ruoli

• •

  Account social collegati: ID degli account, nomi, handle, immagini del profilo e token di accesso

• •

  Contenuti: post, didascalie, commenti, immagini, video e documenti che crei, carichi o programmi, e i dati personali in essi contenuti

• •

  Statistiche: dati di coinvolgimento e sul pubblico restituiti dai social network

• •

  Input e output AI: prompt, testi e immagini che invii alle funzionalità AI, e i risultati

• •

  Dati tecnici: indirizzi IP, dati del dispositivo e log

Gli interessati sono i membri del tuo team e gli altri utenti che inviti, i titolari degli account che colleghi e le persone che compaiono nei tuoi contenuti o interagiscono con essi, come i tuoi clienti, i tuoi follower e il tuo pubblico.

Il Servizio non è pensato per categorie particolari di dati personali (articolo 9 del GDPR) o per dati relativi a condanne penali. Non caricare dati di questo tipo se non hai una base giuridica per farlo.

5. Le tue istruzioni e le tue responsabilità

AdaptlyPost tratta i Dati personali del cliente soltanto su tue istruzioni documentate, anche in caso di trasferimenti fuori dallo Spazio economico europeo (SEE), salvo che il diritto dell'UE o polacco disponga diversamente. In tal caso AdaptlyPost ti informa di tale obbligo giuridico prima del trattamento, a meno che la legge non lo vieti per rilevanti motivi di interesse pubblico.

Le tue istruzioni sono i Termini, il presente DPA e il modo in cui configuri e usi il Servizio. AdaptlyPost ti informa immediatamente se ritiene che un'istruzione violi il GDPR o altre disposizioni dell'UE o degli Stati membri relative alla protezione dei dati.

Sei responsabile di avere una base giuridica per il trattamento, dell'esattezza dei dati e di fornire agli interessati le informazioni a cui hanno diritto.

6. Obblighi di AdaptlyPost

Come previsto dall'articolo 28, paragrafo 3, del GDPR, AdaptlyPost:

• •

  (a) tratta i Dati personali del cliente soltanto su tue istruzioni documentate, come descritto nella sezione 5;

• •

  (b) garantisce che tutte le persone autorizzate a trattare i Dati personali del cliente si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza (sezione 7);

• •

  (c) adotta le misure di sicurezza richieste dall'articolo 32 del GDPR (sezione 8);

• •

  (d) ricorre a sub-responsabili solo alle condizioni della sezione 9;

• •

  (e) ti assiste, con misure tecniche e organizzative adeguate, nel dare seguito alle richieste degli interessati che esercitano i propri diritti (sezione 11);

• •

  (f) ti assiste nel rispetto degli obblighi di cui agli articoli da 32 a 36 del GDPR in materia di sicurezza, notifica delle violazioni, valutazione d'impatto sulla protezione dei dati e consultazione preventiva, tenendo conto della natura del trattamento e delle informazioni a sua disposizione (sezioni 8, 11 e 12);

• •

  (g) al termine del Servizio, cancella o restituisce i Dati personali del cliente a tua scelta, salvo che il diritto dell'UE o polacco ne preveda la conservazione (sezione 13);

• •

  (h) mette a tua disposizione tutte le informazioni necessarie per dimostrare il rispetto dell'articolo 28 del GDPR e consente e contribuisce alle attività di revisione, comprese le ispezioni (sezione 14).

7. Riservatezza

AdaptlyPost dà accesso ai Dati personali del cliente solo alle persone che ne hanno bisogno per fornire, mantenere o supportare il Servizio. Ciascuna di loro è vincolata da un obbligo di riservatezza che continua anche dopo la fine del suo lavoro per AdaptlyPost.

8. Misure di sicurezza

AdaptlyPost adotta misure tecniche e organizzative adeguate per proteggere i Dati personali del cliente, tenendo conto dello stato dell'arte, dei costi di attuazione, della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, e dei rischi per gli interessati. Tra queste:

• •

  Hosting nell'UE: i server applicativi e il database funzionano su Hetzner a Helsinki, in Finlandia. I backup del database sono conservati presso Hetzner a Falkenstein, in Germania. I file multimediali sono conservati in Cloudflare R2 nell'UE.

• •

  Crittografia in transito: tutte le connessioni al Servizio usano TLS.

• •

  Credenziali cifrate: i token di accesso e i refresh token OAuth degli account social collegati sono cifrati con AES-256.

• •

  Controllo degli accessi: l'accesso ai sistemi di produzione è limitato alle persone che ne hanno bisogno, e i ruoli e le autorizzazioni dei workspace stabiliscono cosa ogni membro del tuo team può vedere e fare.

• •

  Accesso a due fattori: ogni utente può attivare l'autenticazione a due fattori con un'app di autenticazione, codici via SMS o via email. Da quel momento, modificare un fattore o eliminare l'account richiede un codice.

• •

  Backup: backup del database ogni ora, conservati per 3 giorni, poi un backup al giorno per un massimo di 14 giorni, con ripristino point-in-time.

• •

  Log e monitoraggio: log applicativi e tracce per individuare errori, abusi e incidenti di sicurezza, conservati fino a 90 giorni.

AdaptlyPost può aggiornare queste misure nel tempo, a condizione che il livello complessivo di protezione non diminuisca.

9. Sub-responsabili del trattamento

Concedi ad AdaptlyPost un'autorizzazione generale a ricorrere a sub-responsabili. L'elenco aggiornato si trova nella nostra pagina dei sub-responsabili.

AdaptlyPost ti informa di qualsiasi aggiunta o sostituzione prevista di un sub-responsabile aggiornando quella pagina almeno 30 giorni prima che il nuovo sub-responsabile inizi a trattare i Dati personali del cliente. Per ricevere questi avvisi via email, scrivi a contact@adaptlypost.com.

Puoi opporti a un nuovo sub-responsabile per ragionevoli motivi legati alla protezione dei dati scrivendo a contact@adaptlypost.com entro quei 30 giorni. AdaptlyPost cercherà allora con te una soluzione in buona fede. Se non si trova una soluzione, puoi smettere di usare il Servizio prima che il nuovo sub-responsabile inizi a trattare i tuoi dati.

AdaptlyPost impone per contratto a ciascun sub-responsabile obblighi in materia di protezione dei dati che garantiscono lo stesso livello di protezione del presente DPA, in particolare garanzie sufficienti per misure tecniche e organizzative adeguate. AdaptlyPost resta pienamente responsabile nei tuoi confronti dell'adempimento degli obblighi di ciascun sub-responsabile.

10. Trasferimenti internazionali

AdaptlyPost ospita il Servizio nell'UE. Alcuni sub-responsabili trattano dati fuori dal SEE, come indicato nella pagina dei sub-responsabili.

AdaptlyPost trasferisce i Dati personali del cliente fuori dal SEE solo in presenza di una garanzia valida ai sensi del capo V del GDPR: una decisione di adeguatezza, compreso l'EU-US Data Privacy Framework quando il destinatario è certificato, oppure le clausole contrattuali tipo adottate con la decisione di esecuzione (UE) 2021/914 della Commissione, usando il modulo 2 (da titolare a responsabile) o il modulo 3 (da responsabile a responsabile), a seconda dei ruoli delle parti.

11. Assistenza per le richieste degli interessati e le valutazioni

Tenendo conto della natura del trattamento, AdaptlyPost ti assiste nel rispondere alle richieste degli interessati, come le richieste di accesso, rettifica, cancellazione, limitazione, portabilità od opposizione. Puoi gestire molte richieste da solo nel Servizio: puoi modificare ed eliminare post, workspace e account collegati, esportare le statistiche in CSV, XLSX o PDF e leggere post e bozze tramite la REST API. Per tutto il resto, scrivi a contact@adaptlypost.com.

Se AdaptlyPost riceve direttamente da un interessato una richiesta relativa ai Dati personali del cliente, te la inoltra e non risponde di propria iniziativa, a meno che tu non glielo chieda o la legge lo imponga.

AdaptlyPost ti fornisce inoltre le informazioni di cui hai ragionevolmente bisogno per effettuare una valutazione d'impatto sulla protezione dei dati, o una consultazione preventiva con un'autorità di controllo, quando la legge lo richiede.

12. Violazioni dei dati personali

AdaptlyPost ti notifica una violazione dei dati personali che riguarda i Dati personali del cliente senza ingiustificato ritardo, e in ogni caso entro 48 ore dal momento in cui ne viene a conoscenza. Invia la notifica all'indirizzo email del proprietario del tuo account.

La notifica descrive, nella misura in cui le informazioni sono disponibili: la natura della violazione, comprese le categorie e il numero approssimativo di interessati e di registrazioni coinvolti; le probabili conseguenze; le misure adottate o proposte per porre rimedio alla violazione e attenuarne gli effetti; e un punto di contatto per ottenere più informazioni. Se non tutte queste informazioni sono note subito, AdaptlyPost le fornisce in fasi successive senza ulteriore ingiustificato ritardo.

AdaptlyPost ti assiste nel rispetto dei tuoi obblighi di notifica all'autorità di controllo e agli interessati. Una notifica non costituisce un'ammissione di colpa o di responsabilità.

13. Cancellazione e restituzione dei dati

Al termine del Servizio scegli se AdaptlyPost cancella o restituisce i Dati personali del cliente. Puoi prima esportare i tuoi dati da solo (sezione 11), oppure chiedere la restituzione o un'esportazione completa scrivendo a contact@adaptlypost.com. AdaptlyPost risponde a queste richieste entro 30 giorni.

Puoi eliminare il tuo account dalle Impostazioni. Se sei proprietario di un'organizzazione con altri membri, prima trasferisci la proprietà o rimuovili. Eliminando il tuo account elimini tutta la tua cronologia AI e le organizzazioni di cui sei l'unico membro, con i relativi workspace, account collegati e post, e annulli l'eventuale abbonamento attivo. L'eliminazione ha effetto immediato. Puoi anche chiederci di eliminare i tuoi dati scrivendo a contact@adaptlypost.com, e li eliminiamo entro 30 giorni.

I dati eliminati vengono rimossi dai nostri backup entro 21 giorni. Fino ad allora i backup restano protetti dal presente DPA e non vengono usati per altre finalità. AdaptlyPost conserva i Dati personali del cliente più a lungo solo quando il diritto dell'UE o polacco lo richiede, e solo per quella finalità.

14. Audit

AdaptlyPost mette a tua disposizione tutte le informazioni necessarie per dimostrare il rispetto dell'articolo 28 del GDPR. Su richiesta, risponde innanzitutto a domande scritte e fornisce documentazione, come il presente DPA, l'elenco dei sub-responsabili e una descrizione delle sue misure di sicurezza.

Se queste informazioni non bastano a dimostrare il rispetto degli obblighi, o se un'autorità di controllo lo richiede, puoi sottoporre AdaptlyPost a un audit, anche tramite un'ispezione in loco, direttamente o tramite un revisore indipendente vincolato alla riservatezza. Devi dare un ragionevole preavviso scritto, svolgere l'audit durante il normale orario di lavoro senza disagi irragionevoli e sostenerne i costi.

15. Responsabilità

La responsabilità di ciascuna parte ai sensi del presente DPA è soggetta alle limitazioni ed esclusioni di responsabilità previste nei Termini di servizio. Ciò non limita la responsabilità di nessuna delle parti nei confronti degli interessati ai sensi dell'articolo 82 del GDPR, né qualsiasi responsabilità che la legge non consente di limitare.

16. Durata, prevalenza e modifiche

Il presente DPA si applica per tutto il tempo in cui AdaptlyPost tratta Dati personali del cliente per tuo conto. In caso di conflitto tra il presente DPA e i Termini, per il trattamento dei dati personali prevale il presente DPA.

AdaptlyPost può aggiornare il presente DPA per riflettere modifiche della legge o del Servizio. Pubblica la nuova versione su questa pagina e aggiorna la data indicata sopra. Un aggiornamento non ridurrà la protezione dei Dati personali del cliente.

17. Legge applicabile

Il presente DPA è regolato dalla legge polacca. Sono competenti i tribunali di Gdańsk, in Polonia, come previsto nei Termini. Ciò non pregiudica i diritti degli interessati né i poteri delle autorità di controllo.

18. Contatti

Per qualsiasi questione relativa al presente DPA, compresa una copia controfirmata, scrivi a contact@adaptlypost.com.

Taras Shynkarenko (che opera come AdaptlyPost), NIP PL 9571091905, Heweliusza 11/811, 80-890 Gdańsk, Polonia.