Accordo sul trattamento dei dati

1. Introduzione

Il presente Accordo sul trattamento dei dati ("DPA") costituisce parte integrante dell'accordo tra il cliente ("Titolare del trattamento") e Bonalogic, che gestisce Nolorem ("Responsabile del trattamento"), per la fornitura dei servizi della piattaforma Nolorem.

Il presente DPA si applica a tutti i dati personali trattati dai sub-responsabili di Nolorem per conto del Titolare del trattamento in relazione all'uso del Servizio.

2. Definizioni

• Titolare del trattamento: Il cliente che determina le finalità e i mezzi del trattamento dei dati personali attraverso il Servizio.
• Responsabile del trattamento: Bonalogic (Nolorem), che tratta i dati personali per conto del Titolare del trattamento.
• Sub-responsabile: Un servizio terzo incaricato dal Responsabile del trattamento per assistere nel trattamento dei dati personali.
• Dati personali: Qualsiasi informazione relativa a una persona fisica identificata o identificabile.
• Trattamento: Qualsiasi operazione eseguita sui dati personali, inclusi la raccolta, l'archiviazione, l'uso, la trasmissione e l'eliminazione.

3. Dettagli del trattamento

Il Responsabile del trattamento tratta le seguenti categorie di dati personali per conto del Titolare del trattamento:

• Dati dell'account: Nome, indirizzo email, nome dell'organizzazione e credenziali di autenticazione per la gestione dell'account utente.
• Dati dei contenuti: Articoli di blog, contenuti per i social media, query di ricerca, scalette degli argomenti e testi e immagini generati.
• Reazioni ai post sui social media pubblicati: Quando qualcuno reagisce a un post che il Titolare del trattamento ha pubblicato tramite il Servizio, il Responsabile del trattamento recupera quella reazione dalla piattaforma (tramite bundle.social) e la conserva. Si tratta dell'identificativo dell'autore sulla piattaforma, del nome visualizzato se la piattaforma lo fornisce, del link al profilo, del link alla foto del profilo (un link che scade; l'immagine stessa non viene conservata), del testo della reazione, dell'orario, del numero di like e di risposte e della posizione nella discussione. Finalità: consentire al Titolare del trattamento di leggere le reazioni e di rispondervi. Queste persone non sono clienti del Responsabile del trattamento; i loro dati provengono dalla piattaforma.
• Dati di fatturazione: Livello di abbonamento, riferimenti ai metodi di pagamento e registri delle fatture trattati tramite Stripe.
• Dati di utilizzo: Utilizzo delle funzionalità, visualizzazioni di pagina e log delle interazioni per il miglioramento del servizio.
• Testo prima e dopo la modifica: Il testo così come lo ha generato il Responsabile del trattamento e così come lo ha inviato o programmato il Titolare del trattamento, con il canale, il profilo vocale, la lingua, il tipo di contenuto e l'identificativo dell'utente che ha avviato l'ultimo passaggio. Finalità: poter migliorare le generazioni proprie del Titolare del trattamento. Il Responsabile del trattamento non usa questi dati per altri clienti né per addestrare un modello. Qualsiasi analisi avviene solo su cifre senza nome del cliente. L'identificativo dell'utente è conservato fino al termine del periodo di conservazione e, dopo l'eliminazione di quell'account, non rimanda più a nessuno.

I dati vengono trattati per tutta la durata dell'utilizzo del Servizio da parte del Titolare del trattamento ed eliminati entro 30 giorni dalla cessazione dell'account.

Il testo prima e dopo la modifica è conservato per 12 mesi, oppure eliminato prima insieme al post o all'articolo e all'eliminazione dell'organizzazione del Titolare del trattamento. Un post o un articolo nel cestino conta finché non viene eliminato definitivamente o finché non trascorrono i 12 mesi.

Le reazioni di terzi vengono conservate finché il post a cui si riferiscono esiste nel Servizio. Il Responsabile del trattamento recupera le reazioni fino a circa 30 giorni dopo la pubblicazione del post. Una reazione eliminata sulla piattaforma prima di tale termine scompare anche dal Servizio al successivo recupero. Una reazione eliminata sulla piattaforma dopo tale termine resta nel Servizio finché il Titolare del trattamento non elimina definitivamente il post (anche dal cestino); le reazioni scompaiono allora insieme al post. Le risposte inviate dal Servizio vengono conservate come parte del post.

4. Sub-responsabili

I seguenti sub-responsabili sono incaricati per erogare il Servizio. Ciascun sub-responsabile è vincolato da accordi sul trattamento dei dati conformi ai requisiti del GDPR.

Il Titolare del trattamento verrà informato di qualsiasi modifica ai sub-responsabili. Eventuali obiezioni a nuovi sub-responsabili possono essere sollevate entro 30 giorni dalla notifica.

bundle.social recupera inoltre dalla piattaforma le reazioni ai post del Titolare del trattamento e invia le risposte che il Titolare del trattamento dà dal Servizio. Anthropic (e, in alternativa, OpenAI) riceve il testo di una reazione e il nome dell'autore esclusivamente quando il Titolare del trattamento preme il pulsante «Suggerisci una risposta», per scrivere una proposta. Senza questa azione nessuna reazione viene inviata a un fornitore di IA. La proposta non viene mai inviata senza che una persona prema invia.

5. Sicurezza dei dati

Il Responsabile del trattamento adotta misure tecniche e organizzative adeguate per proteggere i dati personali, tra cui:

• Cifratura in transito: Tutti i dati trasmessi tra la piattaforma e gli utenti sono cifrati mediante TLS 1.2 o superiore.
• Cifratura a riposo: I dati personali archiviati nel database sono cifrati a riposo mediante AES-256.
• Controlli di accesso: Controlli di accesso basati sui ruoli e policy di Row Level Security (RLS) con ambito organizzazione garantiscono l'isolamento dei dati tra i clienti.
• Revisioni periodiche: Le pratiche di sicurezza e gli accordi con i sub-responsabili vengono revisionati regolarmente.

6. Diritti degli interessati

Il Responsabile del trattamento assisterà il Titolare del trattamento nell'evasione delle richieste di esercizio dei diritti degli interessati ai sensi del GDPR, tra cui:

• Accesso ai dati personali
• Rettifica di dati inesatti
• Cancellazione dei dati personali
• Portabilità dei dati in formato leggibile da dispositivo automatico
• Limitazione del trattamento
• Opposizione al trattamento

Il Responsabile del trattamento risponderà alle richieste del Titolare del trattamento entro 15 giorni lavorativi.

Per le reazioni di terzi vale quanto segue: su richiesta del Titolare del trattamento, un amministratore del Responsabile del trattamento cancella tutte le reazioni di una persona nello spazio di lavoro di quel Titolare del trattamento. Vengono cancellate anche le risposte che il Titolare del trattamento ha dato a quella persona nel Servizio, perché possono riportarne il nome. La risposta sulla piattaforma stessa resta; il Titolare del trattamento la gestisce lì. Il Responsabile del trattamento annota poi esclusivamente l'identificativo di quella persona sulla piattaforma e la data in un elenco di esclusione per quello spazio di lavoro, in modo che il recupero successivo non la riporti. Tale elenco vale per organizzazione e non contiene altro. Base giuridica: il legittimo interesse a rendere duratura una cancellazione.

7. Notifica delle violazioni dei dati

In caso di violazione dei dati personali, il Responsabile del trattamento informerà il Titolare del trattamento senza ingiustificato ritardo e comunque non oltre 72 ore dal momento in cui ne è venuto a conoscenza. La notifica includerà:

• La natura della violazione
• Le categorie e il numero approssimativo di interessati coinvolti
• Le probabili conseguenze della violazione
• Le misure adottate o proposte per affrontare la violazione

8. Diritti di audit

Il Titolare del trattamento può richiedere le informazioni necessarie a dimostrare la conformità agli obblighi del GDPR. Il Responsabile del trattamento metterà a disposizione tutte le informazioni necessarie e consentirà lo svolgimento di audit, incluse le ispezioni, condotti dal Titolare del trattamento o da un revisore da esso incaricato, previo ragionevole preavviso e nel rispetto degli obblighi di riservatezza.

9. Risoluzione

Alla risoluzione del DPA o dell'accordo di servizio sottostante, il Responsabile del trattamento, a scelta del Titolare del trattamento:

• Restituirà tutti i dati personali al Titolare del trattamento in un formato strutturato e di uso comune, oppure
• Eliminerà tutti i dati personali entro 30 giorni, salvo che la conservazione sia richiesta dalla normativa applicabile.

Il Responsabile del trattamento fornirà conferma scritta dell'eliminazione dei dati su richiesta.

10. Contatti

Per domande sul presente Accordo sul trattamento dei dati, per richiedere un audit o per segnalare un problema relativo ai dati, contattaci all'indirizzo:

• Email: info@nolorem.io
• Società: Bonalogic