Accordo sul trattamento dei dati — OAZEE

Il presente Accordo sul trattamento dei dati (DPA) è parte integrante dei Termini di servizio OAZEE tra Arti Group s.r.o., numero di identificazione dell'impresa (IČO) 27930432, partita IVA (DIČ) CZ27930432, con sede legale in Schulhoffova 793/3, Háje, 149 00 Prague 4, Czech Republic (OAZEE), e il cliente che utilizza OAZEE per il trattamento di dati personali per proprio conto (Cliente).

Si applica quando OAZEE tratta dati personali nei contenuti del sito, nelle richieste dei visitatori o nel relativo hosting e invio esclusivamente per conto del Cliente. Il Cliente è normalmente il titolare del trattamento; se il Cliente è un'agenzia che agisce per un titolare, OAZEE agisce come suo sub-responsabile del trattamento. Il Cliente deve avere l'autorità di impartire le relative istruzioni.

Si applicano le definizioni del GDPR di titolare del trattamento, responsabile del trattamento, dati personali, trattamento e violazione dei dati personali. Il presente DPA prevale sulle condizioni generali contrastanti per i trattamenti che rientrano nel suo ambito. Non disciplina le finalità separate di OAZEE in qualità di titolare relative ad account, fatturazione, sicurezza o assistenza, descritte nell'Informativa sulla privacy. La normativa applicabile sulla protezione dei dati prevale su qualsiasi limitazione contrattuale.

• Oggetto: hosting e gestione del sito del Cliente e trattamento dei dati personali che il Cliente sceglie di includere o raccogliere tramite le funzioni supportate.
• Natura e finalità: archiviazione, recupero, visualizzazione e pubblicazione dei contenuti del sito secondo le istruzioni; ricezione, controllo antispam, archiviazione e invio via email delle richieste dei visitatori; assistenza tecnica, sicurezza e cancellazione o restituzione necessarie a fornire tali funzioni.
• Interessati: visitatori del sito del Cliente, clienti potenziali ed esistenti, referenti, personale e altre persone i cui dati il Cliente fornisce lecitamente.
• Tipi di dati: testi e immagini del sito forniti secondo le istruzioni, nomi, recapiti professionali, indirizzi email, numeri di telefono, messaggi, dettagli dei servizi o degli appuntamenti ove utilizzati, orari di invio, informazioni sull'IP sottoposte a hashing, informazioni sul browser/user-agent e segnalazioni pertinenti di sicurezza o spam. I fornitori di infrastruttura e protezione possono trattare i dati di connessione necessari alla consegna e alla sicurezza.
• Durata: per tutto il tempo in cui proseguono il servizio di trattamento pertinente e le istruzioni lecite di conservazione, seguito dalla restituzione o cancellazione ai sensi della sezione 10. La conservazione nell'account non autorizza riutilizzi estranei.

Il servizio standard non è progettato per raccogliere categorie particolari di dati, dati relativi a reati, documenti di identità o altre informazioni altamente sensibili tramite moduli generici o prompt AI. Il Cliente non deve richiedere tali trattamenti senza una base giuridica e un accordo appropriato espressamente concordato. Un messaggio sensibile non richiesto resta un dato personale protetto e non diventa disponibile per un uso autonomo.

Il Cliente incarica OAZEE di trattare i dati soltanto per fornire le funzioni selezionate nel contratto, in base alle impostazioni e alle richieste registrate del Cliente e al presente DPA. La richiesta di pubblicare contenuti del sito costituisce un'istruzione a renderli pubblici; una richiesta privata inviata tramite modulo non costituisce un'istruzione a pubblicarla.

OAZEE tratta i dati solo su istruzioni lecite e documentate, comprese quelle relative ai trasferimenti internazionali, salvo che il diritto applicabile dell'UE o di uno Stato membro richieda diversamente. In tal caso OAZEE informa il Cliente prima del trattamento, salvo divieto di legge. OAZEE informa tempestivamente il Cliente se un'istruzione appare in violazione della normativa applicabile sulla protezione dei dati e può sospendere l'istruzione interessata mentre viene chiarita.

OAZEE non utilizza i dati dei visitatori controllati dal Cliente per proprie attività pubblicitarie, addestramento autonomo di modelli, vendita o sviluppo di prodotti estraneo alle finalità concordate. Il permesso di ospitare un modulo non autorizza a inviarne i messaggi a un fornitore AI per finalità autonome di quest'ultimo. Il trattamento AI nell'ambito del presente DPA richiede un'istruzione applicabile del Cliente e un accordo con il fornitore coerente con il presente DPA.

Il Cliente determina la base giuridica, fornisce le informative richieste ai visitatori, limita la raccolta ai dati necessari e impartisce istruzioni lecite sulla conservazione. Tali responsabilità non sollevano OAZEE dai propri obblighi come responsabile del trattamento.

OAZEE garantisce che le persone autorizzate a trattare i dati siano vincolate alla riservatezza e ricevano accesso solo nella misura necessaria ai loro compiti. OAZEE applica misure tecniche e organizzative adeguate ai sensi dell'articolo 32 GDPR, tenendo conto dei rischi, dell'ambito, del contesto, dello stato dell'arte e dei costi di attuazione.

Le misure comprendono restrizioni di accesso e autenticazione, protezione dei dati in transito, gestione sicura delle credenziali, separazione degli accessi dei clienti, protezione proporzionata dagli abusi e dallo spam, registrazione appropriata e gestione degli incidenti, nonché misure per mantenere la disponibilità e ripristinare i dati ove opportuno. Le protezioni e la conservazione dell'infrastruttura gestita sono valutate per il trattamento pertinente. Il presente DPA non dichiara alcuna certificazione specifica, regione esclusiva di archiviazione, tempo fisso di ripristino dei backup o garanzia assoluta di sicurezza.

OAZEE fornisce al Cliente le informazioni ragionevolmente necessarie a valutare le misure applicabili e non riduce in modo sostanziale la protezione complessiva richiesta dalla legge durante il servizio di trattamento.

Il Cliente concede un'autorizzazione scritta generale per i sub-responsabili correttamente identificati per il trattamento pertinente. L'elenco dei fornitori della sezione 12 deve identificare i fornitori effettivi, le funzioni, i luoghi e gli accordi di trasferimento applicabili prima che il trattamento pertinente venga loro affidato. Un'integrazione software non utilizzata non significa di per sé che il fornitore riceva i dati del Cliente.

Prima di aggiungere o sostituire un sub-responsabile per i dati del Cliente, OAZEE comunica le informazioni sulla modifica proposta al recapito registrato del Cliente con almeno 30 giorni di anticipo, ove praticabile, affinché il Cliente abbia una possibilità effettiva di opporsi per ragionevoli motivi di protezione dei dati. Una modifica realmente urgente per motivi di sicurezza o di legge viene comunicata il prima possibile e non elimina il requisito di autorizzazione e protezione lecite.

Il Cliente può opporsi durante il periodo di preavviso. Le parti cercheranno un'alternativa o una misura di protezione ragionevole. Se l'opposizione non può essere risolta e non è disponibile un'alternativa lecita, il Cliente può porre fine al servizio di trattamento interessato prima dell'entrata in vigore della modifica, senza costi di cessazione anticipata, e ricevere qualsiasi rimborso dovuto per legge o contratto per il servizio interessato non utilizzato. Ciò non garantisce l'utilizzo continuato di un fornitore illecito o non disponibile.

OAZEE impone ai sub-responsabili obblighi scritti che garantiscano la stessa protezione pertinente dei dati del presente DPA e rimane responsabile nei confronti del Cliente del loro adempimento ai sensi dell'articolo 28 GDPR. Un fornitore di modelli AI a valle non è esente per il solo fatto che l'accesso sia instradato tramite un'altra piattaforma.

L'istruzione del Cliente non costituisce rinuncia alle restrizioni del GDPR sui trasferimenti al di fuori del SEE. Prima di un trasferimento soggetto a restrizioni, OAZEE deve predisporre e documentare un meccanismo valido per il destinatario e il trattamento effettivi, insieme alle valutazioni e alle misure supplementari richieste.

Il trattamento della sezione 12 comprende trasferimenti negli Stati Uniti. Questi trasferimenti si basano sull'EU-U.S. Data Privacy Framework (DPF), quando il destinatario e l'attività sono coperti da una certificazione vigente, e/o sulle clausole contrattuali tipo (SCC) applicabili ai sensi del DPA del fornitore pertinente. L'Informativa sulla privacy, sezioni 8–9 riporta le ubicazioni, le entità destinatarie e i collegamenti alle relative condizioni di trasferimento. Un'entità contraente europea non esclude l'accesso o il trattamento negli Stati Uniti.

Una decisione di adeguatezza può essere utilizzata solo quando ricorrono le relative condizioni. Il ricorso all'EU-U.S. Data Privacy Framework richiede che il destinatario e l'attività pertinenti siano coperti da una certificazione vigente. Quando si utilizzano clausole contrattuali tipo, devono essere completati le parti appropriate, il modulo, gli allegati, la descrizione del trattamento e le misure; un riferimento generale nel presente DPA non costituisce un insieme di clausole di trasferimento sottoscritte.

OAZEE fornisce su richiesta informazioni sul meccanismo effettivo e accesso alle garanzie, nel rispetto della legittima tutela delle informazioni riservate e dei dati personali di terzi. Se un trasferimento non può proseguire lecitamente, il trasferimento interessato deve essere interrotto o deve essere adottata un'altra soluzione lecita.

Tenendo conto del trattamento, OAZEE assiste il Cliente con misure appropriate per rispondere alle richieste di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità, ove applicabili. Le richieste possono essere coordinate tramite Mostra indirizzo email.

Se OAZEE riceve una richiesta relativa a dati controllati dal Cliente, la inoltra al Cliente senza ingiustificato ritardo e non decide autonomamente la risposta del Cliente, salvo obbligo di legge. Il Cliente resta responsabile della valutazione della richiesta; OAZEE fornisce assistenza in tempo utile a rispettare il termine legale applicabile. La restituzione dei dati può essere gestita su richiesta e non è limitata alle informazioni visibili in un pannello di controllo.

OAZEE informa il Cliente senza ingiustificato ritardo dopo essere venuta a conoscenza di una violazione dei dati personali che interessa dati trattati ai sensi del presente DPA. La comunicazione comprende, nella misura disponibile, la natura dell'incidente, le categorie e i numeri approssimativi interessati, un punto di contatto, le probabili conseguenze e le misure adottate o proposte.

Le informazioni possono essere fornite per fasi senza ingiustificato ritardo mentre vengono accertati i fatti. OAZEE collabora al contenimento, alla risoluzione e agli obblighi di valutazione e notifica del Cliente. L'eventuale termine di 72 ore per la notifica del titolare all'autorità di controllo non è un periodo contrattuale durante il quale OAZEE può ritardare la comunicazione al Cliente.

Tenendo conto della natura del trattamento e delle informazioni disponibili, OAZEE assiste il Cliente negli obblighi di sicurezza, nelle notifiche delle violazioni, nelle valutazioni d'impatto sulla protezione dei dati e nella consultazione preventiva, ove richiesta.

OAZEE mette a disposizione le informazioni necessarie a dimostrare il rispetto dell'articolo 28 GDPR e consente e contribuisce alle verifiche, comprese le ispezioni da parte del Cliente o di un revisore indipendente incaricato. Le parti concordano un ragionevole preavviso, l'ambito, la riservatezza e la protezione dei dati degli altri clienti; tali accordi non possono annullare un diritto legale di verifica né ostacolare un'autorità competente. Le relazioni indipendenti esistenti possono essere utilizzate se idonee, ma non vengono falsamente presentate come certificazioni possedute da OAZEE.

La cooperazione ordinaria rientra nei relativi obblighi legali. Un compenso concordato separatamente per attività effettivamente aggiuntive deve essere ragionevole e non deve ostacolare i diritti inderogabili o la correzione di inosservanze proprie di OAZEE.

Al termine del servizio di trattamento pertinente, il Cliente può scegliere la restituzione o la cancellazione dei propri dati personali, comprese le copie, salvo che il diritto dell'UE o di uno Stato membro ne richieda la conservazione. Le richieste sono inviate a Mostra indirizzo email; OAZEE assiste senza ingiustificato ritardo e, quando viene richiesta la restituzione, fornisce un formato utilizzabile e di uso comune appropriato ai dati. Dopo la restituzione, OAZEE elimina le copie rimanenti, salvo che il diritto dell'UE o di uno Stato membro ne richieda la conservazione, fermo restando il ciclo limitato delle copie di backup descritto di seguito.

Se il Cliente mantiene un account e richiede la conservazione per il ripristino, tale finalità definita di archiviazione può proseguire ai sensi del presente DPA. Porre fine all'hosting a pagamento mantenendo contenuti recuperabili non equivale a richiedere la cancellazione di tutti i contenuti archiviati. I periodi operativi di conservazione dell'Informativa sulla privacy restano soggetti alle istruzioni lecite del Cliente e al requisito di necessità del GDPR.

Le registrazioni da conservare per legge sono isolate per la finalità richiesta. Le copie di backup in attesa del ciclo di cancellazione applicabile restano protette, non sono utilizzate per nuove finalità e vengono cancellate o anonimizzate quando tale conservazione limitata non è più necessaria. OAZEE spiega su richiesta un'eccezione o un ciclo di conservazione pertinente.

Il contatto per le istruzioni al responsabile e per le questioni di protezione dei dati è Mostra indirizzo email. Le comunicazioni relative ai dati del Cliente sono inviate al recapito corrente dell'account del Cliente, salvo diverso recapito concordato. Il Cliente deve mantenere aggiornato tale recapito.

Il presente DPA segue la disposizione sulla legge ceca dei Termini di servizio senza limitare il GDPR, le autorità di controllo competenti, i diritti degli interessati o altre tutele inderogabili. Non impone al consumatore un tribunale esclusivamente ceco in contrasto con la legge applicabile.

L'Informativa sulla privacy, sezione 8 identifica i marchi e le funzioni dei fornitori pertinenti. Per il trattamento effettivo del Cliente, l'elenco deve distinguere:

• Vercel Inc. (Stati Uniti): hosting, archiviazione Blob e protezione collegata a BotID, compreso l'eventuale trattamento pertinente di Kasada;
• Neon: archiviazione del database; le attuali condizioni pubbliche identificano Databricks, Inc. e la sua affiliata Neon, LLC (Stati Uniti);
• Resend / Plus Five Five, Inc. (Stati Uniti): invio di richieste ed email di servizio, compresa l'archiviazione dei dati dei messaggi negli Stati Uniti;
• fornitori AI o vocali configurati, quando vi sono inclusi lecitamente dati del Cliente: Google (compresa Google Cloud EMEA Limited, Irlanda, per Gemini API Paid Services con indirizzo di fatturazione ceco), OpenAI, OpenRouter con il fornitore a valle pertinente, oppure Recraft;
• altri fornitori solo nella misura in cui siano effettivamente utilizzati per conto del Cliente con l'autorizzazione richiesta.

Il trattamento autonomo dei pagamenti di Stripe, le comunicazioni ai registri tramite Gransy / Subreg o il registro di dominio pertinente e le notifiche di assistenza proprie di OAZEE sono valutati in base ai ruoli effettivi; non sono tutti automaticamente sub-responsabili per i dati dei moduli dei visitatori.

La regione del database è AWS US East 1, Virginia settentrionale, Stati Uniti (us-east-1). La regione predefinita delle funzioni Vercel per OAZEE è Washington, D.C., Stati Uniti (iad1), con contenuti statici distribuiti tramite una CDN globale. Loghi, foto e file caricati utilizzano Vercel Blob; la regione delle funzioni non determina ogni ubicazione di Blob, cache, backup o accesso remoto. Resend archivia i dati email negli Stati Uniti; selezionare una regione di invio non modifica tale luogo di archiviazione.

Le condizioni relative ai destinatari e ai trasferimenti dell'Informativa sulla privacy, sezioni 8–9 sono parte integrante di questo elenco. Per ogni sub-responsabile attivo, OAZEE fornisce l'entità contraente pertinente, la funzione, le categorie di dati, i luoghi applicabili di trattamento e accesso remoto e le garanzie per i trasferimenti a Mostra indirizzo email, e comunica le modifiche ai sensi della sezione 5. I fornitori aggiuntivi o a valle devono essere identificati per il trattamento effettivo; le regioni dell'infrastruttura indicate non implicano che tutti i trattamenti siano limitati a tali regioni.