Accordo sul trattamento dei dati personali (art. 28 GDPR)

Questo Accordo regola i dati che Eleven Media Group LLC (il «Fornitore»), che gestisce INKEO (la «Piattaforma»), tratta per conto dello studio che la usa (lo «Studio»). Fa parte dei Termini e condizioni del servizio INKEO per i professionisti (i «Termini») e si accetta con essi.

1. Ruoli

1.1. Per i dati descritti nell'Allegato, lo Studio è titolare e il Fornitore responsabile del trattamento. Quando più Studi usano funzioni comuni, ciascuno è titolare dei dati che riceve e regola con gli altri i rispettivi ruoli.

1.2. Non rientrano in questo Accordo i trattamenti per i quali il Fornitore è titolare autonomo, descritti nell'informativa sulla privacy di INKEO: account degli utenti, fatturazione, sicurezza e assistenza; account dei clienti su inkeo.app; annuario pubblico e punteggi; misurazione dei siti; gestione della consegna dei messaggi.

1.3. I prestatori di servizi di pagamento trattano i dati di pagamento come titolari autonomi; il Fornitore registra solo importi, stati e identificativi e non conserva i dati delle carte. I servizi di terzi che lo Studio collega, come messaggistica o social network, seguono le condizioni accettate dallo Studio e non sono sub-responsabili.

2. Oggetto e istruzioni

2.1. Il Fornitore tratta i dati per la durata dei Termini, con strumenti elettronici, solo per fornire le funzioni della Piattaforma, prestare assistenza, garantirne manutenzione e sicurezza e adempiere agli obblighi di legge.

2.2. Il Fornitore tratta i dati solo su istruzione documentata dello Studio, anche per i trasferimenti verso paesi terzi, salvo obbligo di legge, di cui informa prima lo Studio se la legge lo consente. Sono istruzioni questo Accordo, i Termini, le impostazioni e le operazioni degli utenti dello Studio e le richieste scritte del suo amministratore. Il Fornitore avvisa lo Studio se ritiene che un'istruzione violi la normativa e può sospenderne l'esecuzione.

3. Obblighi dello Studio

3.1. Lo Studio garantisce che i trattamenti sono leciti: ha una base giuridica e, per i dati relativi alla salute, una condizione dell'art. 9 GDPR; informa gli interessati, anche sul ruolo del Fornitore; raccoglie i consensi necessari (comunicazioni promozionali, immagini); verifica età e identità del cliente e del genitore o tutore; ha il diritto di inserire o importare i dati.

3.2. Lo Studio decide le comunicazioni ai clienti, le pubblicazioni e le impostazioni, come la durata di conservazione, e ne risponde. I controlli automatici della Piattaforma non sostituiscono la sua valutazione. I testi proposti dal Fornitore sono una base che lo Studio verifica e completa; il Fornitore risponde solo di quanto affermano sul Fornitore e sul funzionamento della Piattaforma. Le indicazioni sulle regole regionali sono informative.

4. Personale e riservatezza

4.1. Le persone autorizzate dal Fornitore sono tenute alla riservatezza e accedono ai dati solo nella misura strettamente necessaria. Il personale del Fornitore entra nello spazio di uno Studio solo su richiesta dello Studio, per l'assistenza o la manutenzione. Le operazioni sui dati chieste dallo Studio, come un'importazione, richiedono un'istruzione scritta.

4.2. Il personale può operare da paesi extra UE, in particolare dagli Stati Uniti.

5. Sicurezza

Il Fornitore applica misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR, descritte nell'Allegato, e può aggiornarle senza ridurre il livello di protezione. Lo Studio protegge ciò che controlla: account e permessi dei suoi utenti, dispositivi, file esportati.

6. Sub-responsabili

6.1. Lo Studio autorizza il Fornitore a ricorrere a sub-responsabili delle categorie indicate nell'Allegato. L'elenco nominativo, con paese, servizio e garanzia per i trasferimenti, è inviato all'email dell'amministratore all'accettazione ed è disponibile su richiesta a privacy@inkeo.app; lo Studio non lo pubblica.

6.2. Ogni sub-responsabile è vincolato per contratto scritto agli stessi obblighi; il Fornitore risponde del loro adempimento. Il Fornitore comunica per email, almeno 15 giorni prima, ogni nuovo sub-responsabile con il suo nome. Entro 15 giorni lo Studio può opporsi per motivi ragionevoli; se non si trova una soluzione, può recedere senza penali.

7. Trasferimenti e clausole tipo

7.1. I dati sono conservati principalmente nell'Unione europea; i documenti dei consensi, le fotografie e le firme in Italia. Le reti di distribuzione possono conservarne copie temporanee fuori dal SEE. Il personale può accedervi da paesi extra UE, in particolare dagli Stati Uniti; alcuni sub-responsabili trattano dati fuori dal SEE con le garanzie del capo V GDPR.

7.2. Per i trasferimenti dallo Studio al Fornitore si applicano le clausole contrattuali tipo della decisione (UE) 2021/914, modulo due, che formano parte di questo Accordo e prevalgono in caso di contrasto: clausola 7 non applicata; clausola 9 opzione 2, preavviso di 15 giorni; clausola 11: opzione non applicata, reclami a privacy@inkeo.app; clausola 13: autorità di controllo dello Studio, per l'Italia il Garante; clausola 17: legge italiana; clausola 18: foro di Milano. L'Allegato ne costituisce gli allegati I.B e II; l'accettazione nella Piattaforma vale come sottoscrizione.

7.3. Il Fornitore documenta la valutazione dei paesi terzi e la fornisce su richiesta. Se un'autorità pubblica chiede i dati, informa lo Studio quando possibile, contesta le richieste illegittime e comunica il minimo indispensabile.

8. Assistenza allo Studio

8.1. Il Fornitore assiste lo Studio nel rispondere agli interessati, anzitutto con le funzioni della Piattaforma per consultare, correggere, esportare e cancellare i dati. Le richieste ricevute direttamente sono trasmesse allo Studio, che decide e risponde entro un mese.

8.2. Il Fornitore assiste lo Studio negli obblighi degli artt. da 32 a 36 GDPR. L'assistenza che eccede le funzioni della Piattaforma può avere un costo comunicato prima.

9. Violazioni dei dati

Il Fornitore informa lo Studio senza ingiustificato ritardo di ogni violazione dei dati trattati per suo conto, all'email dell'amministratore, con le informazioni disponibili, e adotta misure per limitarne gli effetti. Lo Studio decide se notificare l'autorità di controllo e gli interessati.

10. Conservazione e cancellazione

10.1. Lo Studio sceglie per quanto conservare i dati dei suoi clienti: 2, 5, 10 o 20 anni dall'ultimo contatto; in mancanza di scelta, 5 anni. Alla scadenza i dati sono cancellati, con avviso allo Studio almeno 30 giorni prima.

10.2. I dati che lo Studio cancella restano recuperabili su richiesta per 30 giorni e sono cancellati definitivamente entro 60 giorni. Restano dati che non identificano il cliente, come appuntamenti senza nome e importi, le richieste di disiscrizione e quanto imposto dalla legge.

10.3. Se lo Studio chiede l'eliminazione del proprio spazio, l'accesso è revocato subito e i dati sono cancellati dopo 30 giorni; entro tale termine lo Studio può chiederne una copia. Negli altri casi di cessazione, i dati sono cancellati dopo il periodo di recupero previsto dai Termini o, in mancanza, dopo 30 giorni. Le versioni precedenti dei file sono eliminate entro 90 giorni, le copie di salvataggio secondo i cicli dei fornitori, le conversazioni con l'assistente e le richieste di assistenza entro 30 giorni dalla fine del contratto.

11. Verifiche

Il Fornitore dà le informazioni necessarie a dimostrare il rispetto dell'art. 28 GDPR e consente verifiche dello Studio o di un revisore indipendente, di norma una volta all'anno, con preavviso di 30 giorni, senza accesso ai dati di altri Studi. Ogni parte sostiene i propri costi.

12. Responsabilità

Restano fermi i diritti degli interessati (art. 82 GDPR). Tra le parti valgono i limiti di responsabilità dei Termini, salvo la clausola 12 delle clausole tipo, dolo, colpa grave e casi in cui la legge non li consente. Lo Studio tiene indenne il Fornitore dalle conseguenze di istruzioni illecite, trattamenti senza base giuridica, testi modificabili (salvo l'art. 3.2), dati inseriti senza diritto, comunicazioni senza consenso e impostazioni scelte, nei limiti della sua responsabilità.

13. Studi in Svizzera

Per gli Studi stabiliti in Svizzera l'Accordo vale anche ai sensi della legge federale sulla protezione dei dati; per i trasferimenti, le clausole tipo si applicano con l'IFPDT come autorità. Il Fornitore li informa di ogni violazione della sicurezza dei dati.

14. Modifiche, cessione, legge e foro

14.1. Il Fornitore può modificare l'Accordo con avviso di almeno 15 giorni; lo Studio può recedere prima che le modifiche si applichino. Le modifiche imposte dalla legge possono applicarsi prima.

14.2. Il Fornitore può cedere l'Accordo, con i Termini, a una società del suo gruppo o a chi acquista la Piattaforma, con avviso scritto allo Studio; il cessionario assume tutti gli obblighi.

14.3. Le clausole tipo sono regolate dalla legge italiana, con foro esclusivo di Milano. Per il resto valgono la legge del Delaware e il foro previsti dai Termini, salve le norme inderogabili e i diritti degli interessati. Prevale il testo italiano.

15. Approvazione specifica

Ai sensi degli artt. 1341 e 1342 c.c., lo Studio approva specificamente, con la procedura separata prevista dai Termini: art. 2.2 (sospensione di istruzioni), 6.2 (termine di opposizione), 10 (cancellazione dei dati), 12 (limiti di responsabilità e manleva), 14.1 (modifiche), 14.2 (cessione), 14.3 (legge e foro).

16. Contatti

privacy@inkeo.app, in italiano, francese o inglese. Eleven Media Group LLC, 8 The Green Ste B, Dover, DE 19901, Stati Uniti. Rappresentante nell'Unione (art. 27 GDPR): AGENCE MB, 60 rue François Ier, 75008 Parigi, Francia.

Allegato

A. Trattamento. Interessati: clienti dello Studio, anche minorenni, genitori o tutori, acquirenti e beneficiari di gift card, partecipanti alla fedeltà, potenziali clienti, collaboratori, autori di recensioni, persone ritratte. Dati: anagrafici e di contatto, codice fiscale, estremi di documenti, contenuto e prova della firma dei consensi (risposte sulla salute, codice monouso, IP, dispositivo), fotografie, prenotazioni, note, messaggi, riferimenti di pagamento, gift card e fedeltà, recensioni, richieste all'assistente. Frequenza: continua.

Dati delicati. Accesso secondo i ruoli dello Studio, salvo l'accesso del personale (art. 4) e l'assistente della Piattaforma, che può consultare i dati di tutti i clienti dello Studio; nessuna modifica di un consenso dopo la firma; le funzioni di intelligenza artificiale offerte allo Studio non leggono le risposte sulla salute.

B. Misure. Cifratura delle connessioni e dei file; controllo degli accessi e separazione tra Studi; autenticazione sicura e sessioni limitate; registro delle operazioni; firma con codice monouso e impronta sul PDF; verifiche di sicurezza periodiche.

C. Categorie di sub-responsabili. Infrastruttura cloud e distribuzione; rete e domini; email; SMS; server di messaggistica; verifica degli indirizzi; generazione di PDF; intelligenza artificiale; cartografia e localizzazione; portafogli elettronici e notifiche; monitoraggio degli errori; strumenti interni del personale; raccolta di dati pubblici.