Accordo sul trattamento dei dati

Il presente accordo sul trattamento dei dati fa parte dei Termini e condizioni di OrbitPage. Viene concluso elettronicamente tra il titolare dell'account o l'organizzazione identificata dall'account OrbitPage (il Cliente) e Paolo Ronco, che gestisce OrbitPage (il Responsabile). Diventa vincolante quando il Cliente accetta i Termini o invia per la prima volta i Dati personali del Cliente a una funzione del responsabile del trattamento.

Si applica solo laddove il Cliente determina le finalità e i mezzi essenziali del trattamento e OrbitPage tratta i dati personali per conto del Cliente. OrbitPage rimane un titolare del trattamento indipendente per l'amministrazione dell'account, la fatturazione, la sicurezza del servizio, la prevenzione di frodi e abusi, la conformità legale e l'analisi dei propri siti web, come spiegato nella Informativa sulla privacy.

Google Analytics basato sul consenso, gli eventi dei prodotti della piattaforma PostHog, il monitoraggio degli errori del browser, la riproduzione dell'editor mascherato e il riconoscimento dei clienti abituali sono attività del controller di OrbitPage. PostHog è un responsabile del trattamento per tali scopi della piattaforma, non un subresponsabile incaricato di analizzare i visitatori delle pagine pubbliche del Cliente. La loro divulgazione nella directory dei fornitori non estende questo DPA né autorizza il tracciamento facoltativo senza il consenso separato dell'individuo.

Dati personali del cliente, titolare, responsabile del trattamento, trattamento e violazione dei dati personali hanno i significati attribuiti dal Regolamento (UE) 2016/679 (GDPR).

Se il Cliente stesso agisce come responsabile del trattamento per un titolare del trattamento del cliente, OrbitPage funge da subresponsabile del trattamento per i dati rilevanti. Il Cliente conferma di disporre dell'autorizzazione del titolare prevista dall'articolo 28, trasmetterà istruzioni legittime e documentate e rimane il punto di comunicazione per tale titolare. Questo DPA non autorizza un'attività di trattamento che va oltre l'autorità concessa da tale titolare del trattamento.

OrbitPage tratta i dati personali del cliente per fornire lo spazio di lavoro ospitato, la pubblicazione, i controlli del consenso, la newsletter, il negozio, la prenotazione, la consegna, il supporto e le funzionalità connesse selezionate dal cliente. L'elaborazione continua per la durata del servizio e i periodi di cancellazione descritti di seguito.

Le istruzioni documentate del Cliente sono il presente DPA, i Termini, la configurazione e il contenuto del Cliente, le azioni autenticate della Dashboard e dell'API e le istruzioni di supporto scritte coerenti con il servizio. OrbitPage tratterà i dati personali del cliente solo in base a tali istruzioni, anche per i trasferimenti internazionali, a meno che il diritto dell'Unione o degli Stati membri non richieda diversamente. Laddove consentito dalla legge, OrbitPage informerà il Cliente prima dell'elaborazione richiesta.

OrbitPage informerà tempestivamente il Cliente se un'istruzione sembra violare la legge applicabile sulla protezione dei dati e potrà sospendere l'istruzione interessata mentre le parti la chiariscono.

OrbitPage garantirà che il personale autorizzato elabori i dati personali del cliente solo se necessario per i propri compiti e sia vincolato alla riservatezza; mantenere misure adeguate al rischio ai sensi dell'articolo 32 GDPR; imporre obblighi di protezione dei dati equivalenti ai subresponsabili del trattamento; assistere il Cliente con i diritti dell'interessato, la sicurezza, la valutazione delle violazioni, le DPIA e la consultazione preventiva laddove la natura del servizio e le informazioni disponibili lo consentano; cancellare o restituire i dati come indicato nella sezione 11; e rendere disponibili nella sezione 10 le informazioni necessarie per dimostrare la conformità all'articolo 28.

Il Cliente è responsabile di istruzioni lecite, corrette e trasparenti; comunicazioni e basi giuridiche; accuratezza e minimizzazione dei dati; rispondere agli interessati; configurare conservazione, consenso e destinatari; e garantire che i propri utenti e i servizi di terze parti selezionati siano autorizzati. Il Cliente non deve utilizzare OrbitPage per elaborare dati di categorie speciali, dati di reati penali, monitoraggio sistematico su larga scala o dati relativi a bambini senza un accordo scritto separato che confermi che il servizio e le garanzie sono adeguate.

Il Cliente deve proteggere l'account, l'SMTP, l'API e le credenziali del servizio connesso, garantire l'accesso minimo necessario e notificare tempestivamente a OrbitPage la sospetta compromissione. Il Cliente rimane responsabile dei fornitori indipendenti che seleziona, inclusi i fornitori di SMTP, analisi, gestione del consenso, prenotazione, moduli e contenuti incorporati.

OrbitPage applica le misure di cui all'Allegato II e può aggiornarle in base ai cambiamenti tecnologici e ai rischi, a condizione che la protezione complessiva dei dati personali del cliente non venga sostanzialmente ridotta. Nessuna misura crea una garanzia di uptime, tempo di ripristino o punto di ripristino a meno che un accordo sul livello di servizio firmato separato non lo indichi espressamente.

Tenendo conto della natura del trattamento, OrbitPage fornirà gli strumenti self-service disponibili e un'assistenza ragionevole per le richieste di accesso, correzione, esportazione, limitazione, opposizione e cancellazione. Se OrbitPage riceve una richiesta relativa principalmente ai dati personali del cliente, indirizzerà il richiedente al cliente o inoltrerà la richiesta ove lecito e ragionevolmente identificabile e non risponderà per conto del cliente se non indicato o richiesto dalla legge.

OrbitPage fornirà informazioni ragionevolmente disponibili per assistere con gli articoli da 32 a 36 GDPR. Il lavoro che richiede sviluppo personalizzato, recupero esteso o servizi professionali di terze parti può essere addebitato a una tariffa ragionevole concordata, a meno che non sia causato dalla violazione di questo DPA da parte di OrbitPage.

OrbitPage avviserà il Cliente senza indebito ritardo dopo essere venuto a conoscenza di una violazione dei dati personali che interessa i Dati personali del Cliente. Non appena le informazioni saranno disponibili, l'avviso descriverà la natura della violazione, i dati interessati e le persone conosciute, le probabili conseguenze, la mitigazione e un punto di contatto. OrbitPage può fornire informazioni in più fasi e adotterà misure ragionevoli per contenere, indagare e porre rimedio all'incidente. La notifica non costituisce un'ammissione di colpa.

Il Cliente fornisce un'autorizzazione scritta generale ai fornitori identificati come sub-responsabili per le funzionalità del responsabile del trattamento selezionate nella pagina Sub-responsabili, incorporata come Allegato III. OrbitPage rimane responsabile dell'adempimento dei compiti del responsabile del trattamento applicabili e li vincolerà agli obblighi di protezione dei dati adeguati al servizio.

OrbitPage informerà attivamente il Cliente tramite il contatto dell'account o un avviso in servizio prima di aggiungere o sostituire un subresponsabile autorizzato. L'informativa identifica il trattamento interessato e offre una ragionevole opportunità di opporsi per motivi legati alla protezione dei dati; la semplice modifica dell'elenco di siti Web non costituisce l'intera procedura di notifica. Il Cliente può opporsi per documentati motivi di protezione dei dati prima della modifica annunciata. Le parti cercheranno una soluzione ragionevole; se nessuna è disponibile, il Cliente può interrompere l'utilizzo della funzionalità interessata o interrompere il servizio a pagamento interessato.

I fornitori utilizzati esclusivamente per scopi di titolare del trattamento indipendente di OrbitPage e servizi esterni selezionati e contrattati in modo indipendente dal Cliente non sono autorizzati come subresponsabili semplicemente perché compaiono nella directory dei fornitori. Il ruolo di fornitore segue il servizio e le istruzioni effettivi anziché il nome commerciale.

Laddove i dati personali del cliente vengano trasferiti al di fuori del SEE in un paese senza una decisione di adeguatezza applicabile, OrbitPage utilizzerà un meccanismo di trasferimento legale, comprese le clausole contrattuali standard della Commissione Europea del 2021, ove appropriato, e le misure supplementari richieste dalla valutazione del trasferimento. Le posizioni e le tutele attuali dei fornitori sono descritte nella pagina Sub-responsabili.

Un meccanismo di trasferimento viene selezionato per l'effettivo esportatore, importatore e servizio. Ove applicabile, i trasferimenti da responsabile a responsabile utilizzano il modulo SCC pertinente e richiedono misure supplementari; I dati del Regno Unito o della Svizzera richiedono le tutele locali applicabili. Su richiesta, OrbitPage fornisce informazioni rilevanti sulle garanzie di trasferimento, soggette alle legittime tutele di riservatezza. Il presente DPA non è di per sé un allegato SCC autonomo e completo o una dichiarazione secondo cui ogni destinazione ha una decisione di adeguatezza.

Su ragionevole richiesta scritta, OrbitPage fornirà le informazioni necessarie per dimostrare la conformità al presente DPA, come politiche pertinenti, termini del fornitore, riepiloghi sulla sicurezza e risposte a un questionario proporzionato. Non più di una volta nell'arco di dodici mesi, a meno che una violazione, una richiesta dell'autorità o una non conformità materiale credibile giustifichino di più, il Cliente può richiedere un audit da parte di un revisore qualificato indipendente vincolato dalla riservatezza.

Gli audit richiedono un preavviso ragionevole, devono evitare interruzioni e non possono esporre i dati, i segreti di sicurezza o il materiale privilegiato di un altro cliente. Il Cliente sostiene i costi di audit a meno che l'audit identifichi una violazione materiale da parte di OrbitPage. Contatta contact@orbitpage.com per iniziare questo processo.

Durante il periodo di servizio, il Cliente può recuperare i dati dell'area di lavoro supportati tramite le funzioni di esportazione e backup disponibili. Su richiesta effettuata prima della chiusura dell'account, OrbitPage fornirà un'assistenza ragionevole con un'esportazione disponibile. Quando il Cliente elimina l'account o il servizio termina, OrbitPage elimina i Dati personali del Cliente dai sistemi attivi in base all'Informativa sulla privacy, a meno che il Cliente non richieda la restituzione prima dell'eliminazione o la legge applicabile richieda la conservazione.

I backup del fornitore e i record di sicurezza immutabili rimangono protetti e scadono secondo le loro pianificazioni controllate. I dati conservati per legge, prevenzione di frodi, controversie o reclami legali vengono isolati dall'uso ordinario del prodotto e cancellati al termine di tale scopo. Su richiesta del Cliente, OrbitPage confermerà il completamento del processo di eliminazione del sistema attivo applicabile.

Il Cliente può scegliere la restituzione o la cancellazione dei Dati personali del Cliente al termine del trattamento, soggetto alla conservazione legale applicabile. Le copie protette di ripristino di emergenza seguono il ciclo di vita del backup descritto nell'Informativa sulla privacy e non devono essere utilizzate per scopi non correlati. Un ripristino deve preservare i requisiti di eliminazione in sospeso.

Se questo DPA è in conflitto con i Termini sul trattamento dei dati personali del cliente, prevale questo DPA. I Termini regolano tutte le altre questioni, inclusi responsabilità, pagamento, sospensione, legge applicabile e controversie, senza limitare i diritti o le responsabilità che non possono essere legalmente limitati ai sensi della legge sulla protezione dei dati.

Il presente DPA rimane efficace mentre OrbitPage elabora i dati personali del cliente. Gli aggiornamenti seguono il processo di modifica dei Termini e non ridurranno sostanzialmente le protezioni obbligatorie dell'Articolo 28. Gli avvisi e le richieste sulla protezione dei dati possono essere inviati tramite la pagina dei contatti o a contact@orbitpage.com.

• HTTPS/TLS per i dati supportati in transito e protezione gestita dal provider per i dati di servizio archiviati.
• Autenticazione Firebase, identità verificate ove richiesto, controlli dell'appartenenza del tenant, autorizzazioni basate sul ruolo e autorizzazione lato server.
• Segreti lato server, hashing unidirezionale delle credenziali API e crittografia delle password SMTP fornite dal cliente.
• Record con ambito tenant, percorsi di pubblicazione convalidati, archiviazione di oggetti privati per file protetti e credenziali di consegna limitate nel tempo.
• Limiti di velocità, controllo app o attestazione di richiesta equivalente ove configurato, controlli sugli abusi, garanzie di moderazione e registrazione operativa.
• Cronologia delle revisioni, backup gestiti ove configurati, controlli di distribuzione, procedure di incidente e rotazione controllata delle credenziali.
• Riduzione al minimo dei dati, contesto AI limitato, credenziali del fornitore limitate e controlli di eliminazione/esportazione descritti nell'Informativa sulla privacy.
• Riservatezza del personale, accesso del fornitore con privilegi minimi e revisione dei subresponsabili del trattamento adeguati al loro ruolo.

L'elenco attuale, lo scopo, l'ambito dei dati e la documentazione del fornitore sono conservati nella pagina Subprocessors. I fornitori di SMTP, analisi, consenso, prenotazione, moduli e incorporamento selezionati dal cliente sono controllati dal cliente e non sono nominati da OrbitPage come subresponsabili del trattamento della piattaforma per gli usi selezionati dal cliente.