Accordo sul trattamento dei dati

Ambito

Questo Accordo sul trattamento dei dati disciplina il trattamento dei dati personali da parte di Kotao GmbH (“Responsabile del trattamento”) per conto del Cliente (“Titolare del trattamento”) in linea con l’Art. 28 GDPR. Si applica in aggiunta ai Termini di Servizio e a qualsiasi modulo d’ordine o dichiarazione di lavoro che descriva i servizi Kotao acquistati.

Se questo DPA entra in conflitto con i Termini di Servizio, un modulo d’ordine o un altro documento commerciale, prevale questo DPA per il trattamento dei dati personali per conto del Titolare del trattamento. Le Clausole Contrattuali Standard obbligatorie prevalgono sulle disposizioni in conflitto come richiesto dalla loro clausola di gerarchia.

Oggetto e Durata

L’oggetto del trattamento è l’operazione della piattaforma Kotao per conto del Titolare del trattamento. La durata del trattamento copre la durata del contratto di abbonamento sottostante e la successiva fase di restituzione e cancellazione ai sensi di questo DPA.

Natura, Scopo e Categorie

• Natura e scopo: operare la piattaforma Kotao e i moduli selezionati dal Titolare del trattamento.
• Categorie di interessati: i clienti finali del Titolare del trattamento, i dipendenti e i contatti commerciali.
• Categorie di dati personali: informazioni di contatto, dati di transazione, dati di programmazione, metadati di pagamento opzionali e, quando selezionati dal Titolare del trattamento, metadati di conto bancario collegato e dati di transazione in arrivo.

Istruzioni per il trattamento

Il Responsabile del trattamento tratta i dati personali solo su istruzioni documentate del Titolare del trattamento, incluse istruzioni relative a trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale, salvo che la legge dell’Unione o dello Stato membro richieda il trattamento senza tali istruzioni. Se si applica un requisito legale, il Responsabile del trattamento informerà il Titolare del trattamento prima del trattamento salvo che la legge vieti l’avviso per motivi di interesse pubblico rilevante.

Il Responsabile del trattamento informerà prontamente il Titolare del trattamento se un’istruzione, a suo avviso, viola il GDPR o altra legge di protezione dei dati dell’Unione o dello Stato membro.

Riservatezza

Il Responsabile del trattamento garantisce che le persone autorizzate a trattare i dati personali siano vincolate da obblighi di riservatezza o siano soggette a un’adeguata obbligo di riservatezza previsto dalla legge. L’accesso è limitato al personale e ai fornitori di servizi che ne hanno bisogno per fornire i servizi Kotao.

Sub-responsabili del trattamento

Il Titolare del trattamento concede al Responsabile del trattamento un’autorizzazione scritta generale per coinvolgere sub-responsabili per i servizi Kotao, soggetta al processo di notifica e obiezione di seguito. I sub-responsabili nominati del Responsabile del trattamento, inclusi Cloudflare, Neon, processori di Kotao Payments, Resend, Amazon SES, PostHog, Sentry, OpenAI e l’aggiunta prevista di Plaid dopo il suo periodo di notifica, con ruolo, scopo, categorie di dati, regione di trattamento, base di trasferimento e cronologia delle versioni, sono pubblicati su Sub-responsabili del trattamento. La lista pubblicata fa parte di questo DPA ai fini dell’Art. 28(2) e Art. 28(4) GDPR.

Il Responsabile del trattamento fornirà al Titolare del trattamento un preavviso di almeno 30 giorni per qualsiasi cambiamento previsto alla lista dei sub-responsabili. Il Titolare del trattamento può opporsi al cambiamento entro quel periodo. Se non si raggiunge un accordo, una delle parti può terminare i servizi interessati.

Il Responsabile del trattamento imporrà gli stessi obblighi di protezione dei dati su ciascun sub-responsabile come quelli stabiliti in questo DPA, per contratto o altro atto legale vincolante. Se un sub-responsabile non adempie ai propri obblighi di protezione dei dati, il Responsabile del trattamento rimane responsabile verso il Titolare del trattamento per l’esecuzione degli obblighi di quel sub-responsabile.

Misure Tecniche e Organizzative

Il Responsabile del trattamento mantiene misure tecniche e organizzative appropriate al rischio in linea con l’Art. 32 GDPR. A seconda del servizio e del rischio rilevante, queste misure includono crittografia in transito e a riposo, isolamento dei tenant e controlli di accesso basati sui ruoli, autenticazione multifattoriale o step-up per operazioni sensibili, registrazione di sicurezza e audit, procedure di cambiamento e distribuzione controllate, gestione degli incidenti, controlli di recupero e gestione delle vulnerabilità e dipendenze basata sul rischio. Le misure vengono riviste man mano che i servizi, le minacce e la tecnologia disponibile evolvono. Il Responsabile del trattamento assisterà il Titolare del trattamento, tenendo conto della natura del trattamento e delle informazioni disponibili al Responsabile del trattamento, con gli obblighi del Titolare del trattamento ai sensi dell’Art. 32 GDPR.

Richieste degli interessati

Il Responsabile del trattamento assisterà il Titolare del trattamento nel rispondere alle richieste di interessati entro cinque giorni lavorativi, inclusi l’esportazione dei dati e il supporto alla cancellazione o rettifica.

Tenendo conto della natura del trattamento e delle informazioni disponibili al Responsabile del trattamento, il Responsabile del trattamento fornirà anche un’assistenza ragionevole per le comunicazioni relative a violazioni dei dati personali ai sensi dell’art. 34 GDPR, le valutazioni d’impatto sulla protezione dei dati ai sensi dell’art. 35 GDPR e la consultazione preventiva con le autorità di vigilanza ai sensi dell’art. 36 GDPR.

Trasferimenti Internazionali

I dati personali vengono trattati principalmente nello SEE. Quando è richiesto un trasferimento limitato dal Titolare del trattamento al Responsabile del trattamento per i servizi, le parti si affidano alle Clausole Contrattuali Standard della Commissione Europea ai sensi della Decisione (UE) 2021/914, Modulo 2 (dal titolare al responsabile del trattamento), salvo che non sia applicata una decisione di adeguatezza o un altro meccanismo di trasferimento valido. Per i trasferimenti successivi a sub-responsabili, il Responsabile del trattamento utilizzerà il modulo SCC appropriato, la decisione di adeguatezza, la certificazione Data Privacy Framework o un altro meccanismo di trasferimento valido elencato sulla pagina Sub-responsabili del trattamento.

Audit

Il Responsabile del trattamento metterà a disposizione tutte le informazioni necessarie per dimostrare la conformità a questo DPA e all’art. 28 GDPR. Il Titolare del trattamento può verificare la conformità del Responsabile del trattamento una volta all’anno solare con un preavviso ragionevole, e il Responsabile del trattamento contribuirà alle verifiche, comprese le ispezioni, condotte dal Titolare del trattamento o da un altro revisore nominato dal Titolare del trattamento.

Le verifiche devono essere condotte durante l’orario di lavoro normale, non devono interrompere in modo ingiustificato le operazioni del Responsabile del trattamento e devono preservare la riservatezza, la sicurezza e la disponibilità dei dati appartenenti ad altri clienti. Una volta disponibili, il rapporto SOC 2 Tipo II del Responsabile del trattamento può essere fornito come prova dei controlli coperti dal rapporto, senza limitare i diritti di verifica previsti dalla legge del Titolare del trattamento.

Cessazione

Per 90 giorni dopo l’efficacia della cessazione del contratto sottostante, il Responsabile del trattamento conserverà i dati personali trattati per conto del Titolare del trattamento esclusivamente per il restituzione e l’esportazione, salvo che il Titolare del trattamento non istruisca la cancellazione anticipata. I dati saranno restituiti o cancellati entro quel periodo a scelta del Titolare del trattamento. Salvo istruzioni documentate diverse, i dati saranno cancellati dopo l’esaurimento del periodo, salvo che la conservazione sia richiesta dalla legge applicabile. Il Responsabile del trattamento cancellerà le copie esistenti salvo che la legge dell’Unione o dello Stato membro richieda la conservazione.

Notifica di Violazione

Il Responsabile del trattamento informerà il Titolare del trattamento senza ritardi ingiustificati e comunque entro 72 ore dall’avvenuta conoscenza di una violazione dei dati personali che riguarda i dati del Titolare del trattamento, in linea con l’art. 33 GDPR.

Prevalenza in caso di conflitto

Questo DPA prevale sui termini commerciali in conflitto per tutta il trattamento di dati personali per conto del Titolare del trattamento. Se la legge sulla protezione dei dati obbligatoria o le Clausole Contrattuali Standard applicabili richiedono un obbligo più severo, quell’obbligo più severo prevale.