Accordo sul trattamento dei dati

Indice

1. 1. Ambito, ruoli e definizioni
2. 2. Dettagli del Trattamento
3. 3. Istruzioni del Cliente
4. 4. Riservatezza delle persone autorizzate
5. 5. Misure di sicurezza
6. 6. Sub-responsabili
7. 7. Ubicazione dei dati e trasferimenti internazionali
8. 8. Assistenza per le richieste degli Interessati
9. 9. Notifica di una Violazione dei Dati Personali
10. 10. Valutazioni d'impatto e consultazione delle autorità di regolamentazione
11. 11. Informazioni e audit
12. 12. Restituzione e cancellazione dei dati
13. 13. Richieste delle autorità governative
14. 14. Responsabilità
15. 15. Durata e prevalenza
16. 16. Referente per la protezione dei dati e registro dei trattamenti
17. Allegato 1: Dettagli del Trattamento
18. Allegato 2: Misure tecniche e organizzative
19. Allegato 3: Sub-responsabili

Versione: 1.2 · Pubblicato il: 16 ottobre 2026 · In vigore: all'accettazione per i nuovi Spazi di Lavoro; per gli Spazi di Lavoro che hanno accettato una Versione precedente, alla data indicata da STAK nel proprio avviso ai sensi della clausola 20 delle Condizioni di Servizio per i Clienti · Testo prevalente: Inglese (clausola 23.9 delle Condizioni di Servizio per i Clienti)

Emesso da: STAK Global, LLC, società a responsabilità limitata costituita nello Stato del Delaware, Stati Uniti d'America (numero di registrazione 10798493), titolare di STAK (ستاك) e dei Servizi. Contatto: [email protected].

1. Ambito, ruoli e definizioni

1.1 Il presente Accordo sul Trattamento dei Dati costituisce parte integrante del Contratto ai sensi della clausola 3.1 delle Condizioni di Servizio per i Clienti STAK (le «Condizioni»). Disciplina il Trattamento dei Dati Personali del Cliente da parte di STAK. Le espressioni definite nelle Condizioni hanno lo stesso significato nel presente Accordo sul Trattamento dei Dati.

1.2 Il Cliente è il Titolare del trattamento dei Dati Personali del Cliente, e STAK è un Responsabile del trattamento che li tratta per conto del Cliente e su sua istruzione.

• Titolare del trattamento e Responsabile del trattamento indicano i rispettivi equivalenti ai sensi della Legge sulla Protezione dei Dati Applicabile, come l'ente di controllo e l'ente di trattamento nel Regno dell'Arabia Saudita.
• Se il Cliente tratta i dati in qualità di responsabile del trattamento per conto di un altro titolare, STAK li tratta in qualità di responsabile che agisce per conto del Cliente, e non è un Sub-responsabile ai sensi della clausola 1.3. Il Cliente fa in modo che le proprie istruzioni siano coerenti con le istruzioni di tale titolare.
• STAK tratta i Dati dell'Account in qualità di Titolare del trattamento, come descritto nell'Informativa sulla Privacy, e il presente Accordo sul Trattamento dei Dati non si applica ad essi. Né il presente riferimento né quello dell'Allegato 3 creano obbligazioni contrattuali ai sensi della clausola 3.2 delle Condizioni.

1.3 Le espressioni seguenti hanno il significato indicato accanto a ciascuna:

• Dati Personali del Cliente: I Dati Personali contenuti nei Dati del Cliente, compresi i dati relativi ai Clienti Finali, ai dipendenti, ai fornitori e agli Utenti del Cliente, diversi dai Dati dell'Account.
• Dati Personali Sensibili: i dati sanitari e clinici, e qualsiasi dato che la Legge sulla Protezione dei Dati Applicabile classifichi come sensibile.
• Trattamento: qualsiasi operazione compiuta sui Dati Personali, come la raccolta, la registrazione, la conservazione, la consultazione, l'utilizzo, la divulgazione, il trasferimento e la cancellazione.
• Sub-responsabile: qualsiasi soggetto di cui STAK si avvale per trattare Dati Personali del Cliente allo scopo di fornire i Servizi.
• Interessato: la persona fisica cui si riferiscono i Dati Personali.
• Incidente di Sicurezza: qualsiasi evento che minacci, o si sospetti minacci, la riservatezza, l'integrità o la disponibilità dei Servizi.
• Violazione dei Dati Personali: qualsiasi violazione di sicurezza che comporti la distruzione, la perdita o la modifica, accidentale o illecita, dei Dati Personali del Cliente, ovvero la divulgazione non autorizzata degli stessi o l'accesso non autorizzato ad essi.
• Backup: qualsiasi copia dei Dati del Cliente effettuata a fini di ripristino, ai sensi della clausola 12.3 e dell'Allegato 2.
• Ambiente di Produzione: i sistemi e i database su cui vengono eseguiti i Servizi e che il Cliente utilizza, esclusi i Backup.
• Legge sulla Protezione dei Dati Applicabile: la normativa sulla protezione dei dati personali applicabile al Trattamento, ciascuna nella misura in cui si applica, compresa la seguente:
  • nello Stato del Kuwait: la Legge n. 20 del 2014 sulle Transazioni Elettroniche, e il Regolamento sulla Protezione della Privacy dei Dati, il Quadro Normativo sul Cloud Computing e la Politica di Classificazione dei Dati emanati dall'Autorità di Regolamentazione delle Comunicazioni e della Tecnologia dell'Informazione, ciascuno nel proprio ambito;
  • la Legge sulla Protezione dei Dati Personali del Regno dell'Arabia Saudita, promulgata con Decreto Reale n. (M/19) del 9/2/1443 AH, come modificata, il relativo Regolamento di attuazione e il Regolamento sul Trasferimento di Dati Personali al di fuori del Regno;
  • negli Emirati Arabi Uniti: il Decreto-Legge Federale n. (45) del 2021 sulla Protezione dei Dati Personali, la Legge Federale n. (2) del 2019 sull'Uso delle Tecnologie dell'Informazione e della Comunicazione negli Ambiti Sanitari, e le leggi sulla protezione dei dati del Dubai International Financial Centre e dell'Abu Dhabi Global Market per i soggetti ad esse sottoposti;
  • Legge n. (30) del 2018 che promulga la Legge sulla protezione dei dati personali del Regno del Bahrein;
  • Legge n. (13) del 2016 sulla protezione della privacy dei dati personali dello Stato del Qatar;
  • la Legge sulla Protezione dei Dati Personali promulgata con Decreto Reale n. (6/2022) del Sultanato dell'Oman;
  • il Regolamento generale sulla protezione dei dati dell'Unione europea (Regolamento (UE) 2016/679), ove si applichi al Cliente;
  • il Regolamento generale sulla protezione dei dati del Regno Unito e il Data Protection Act 2018; la Legge federale svizzera sulla protezione dei dati; il California Consumer Privacy Act, come modificato, e le altre leggi statali complete sulla privacy degli Stati Uniti d'America; il Personal Information Protection and Electronic Documents Act del Canada e le leggi provinciali; la Lei Geral de Proteção de Dados del Brasile (Legge n. 13.709/2018); il Digital Personal Data Protection Act, 2023 dell'India; la Legge n. 6698 della Turchia sulla protezione dei dati personali; la Legge n. 151 del 2020 dell'Egitto; il Protection of Personal Information Act, 2013 del Sudafrica; il Personal Data Protection Act 2012 di Singapore; il Privacy Act 1988 dell'Australia; e qualsiasi altra legge sulla protezione dei dati personali che si applichi al Trattamento.

2. Dettagli del Trattamento

L'Allegato 1 stabilisce l'oggetto, la durata, la natura e la finalità del Trattamento, le categorie di Interessati e le categorie di Dati Personali.

3. Istruzioni del Cliente

3.1 STAK tratta i Dati Personali del Cliente soltanto su istruzione documentata del Cliente. Tali istruzioni sono:

• il Contratto;
• le impostazioni dello Spazio di Lavoro;
• le azioni compiute dagli Utenti all'interno dei Servizi;
• qualsiasi altra istruzione scritta concordata dalle Parti.

3.2 STAK può trattare i dati in modo diverso da tali istruzioni quando la Legge Applicabile lo richieda. Ne informa preventivamente il Cliente, salvo che la legge vieti tale comunicazione.

3.3 STAK informa il Cliente se ritiene che un'istruzione violi la Legge sulla Protezione dei Dati Applicabile. Può rifiutarsi di eseguire tale istruzione finché il Cliente non la modifichi per eliminare la violazione, o la confermi per iscritto con una dichiarazione della propria base giuridica che STAK accetti ragionevolmente.

3.4 Il Cliente è responsabile della liceità delle proprie istruzioni e di disporre di una base giuridica per raccogliere e trattare Dati Personali del Cliente. Ciò comprende informare gli Interessati e ottenere il loro consenso ove necessario, compreso il consenso al trasferimento dei loro dati ai sensi della clausola 7.

4. Riservatezza delle persone autorizzate

STAK limita l'accesso ai Dati Personali del Cliente ai dipendenti e ai collaboratori che ne hanno bisogno per il proprio lavoro, e li vincola alla riservatezza. I dipendenti e i collaboratori di STAK accedono ai Dati del Cliente soltanto nei casi seguenti, e l'inizio di ogni accesso di questo tipo all'Ambiente di Produzione viene registrato:

• (a) per fornire l'assistenza richiesta dal Cliente;
• (b) per gestire e mantenere i Servizi e ripristinarli dai Backup;
• (c) per indagare su un Incidente di Sicurezza o su una presunta violazione della Politica di Uso Accettabile;
• (d) quando la legge lo richiede.

5. Misure di sicurezza

5.1 STAK applica misure tecniche e organizzative adeguate per proteggere i Dati Personali del Cliente, tenendo conto della natura e dei rischi del Trattamento. Esse comprendono almeno le misure di cui all'Allegato 2.

5.2 STAK può aggiornare tali misure, purché il livello complessivo di protezione non si riduca.

5.3 Il Cliente è responsabile delle misure di sicurezza sotto il proprio controllo, quali la gestione di Utenti e permessi, l'attivazione dell'accesso in due passaggi, la protezione dei propri dispositivi e apparecchiature e la custodia sicura dei dati che esporta.

6. Sub-responsabili

6.1 Il Cliente autorizza STAK ad avvalersi dei Sub-responsabili elencati nell'Allegato 3.

6.2 STAK deve stipulare un contratto scritto con ciascun Sub-responsabile. Il contratto deve imporre obblighi in materia di protezione dei dati che offrano un livello di protezione adeguato al Trattamento e sostanzialmente equivalente a quello del presente Accordo sul Trattamento dei Dati. STAK rimane responsabile nei confronti del Cliente per l'adempimento degli obblighi dei propri Sub-responsabili.

6.3 STAK comunica al Cliente qualsiasi nuovo Sub-responsabile almeno 30 giorni prima che inizi a trattare Dati Personali del Cliente, all'interno dei Servizi o per e-mail.

6.4 Durante il periodo di preavviso, il Cliente può opporsi per iscritto al nuovo Sub-responsabile per ragionevoli motivi di protezione dei dati. Se le Parti non riescono a concordare una soluzione, il Cliente può recedere dall'abbonamento interessato, o dal Contratto, prima dell'inizio del Trattamento e ottenere il rimborso dei Corrispettivi pagati anticipatamente per il periodo residuo.

6.5 I Fornitori Collegati che il Cliente collega tramite i propri account non sono Sub-responsabili di STAK. Tra essi rientrano i Prestatori di Servizi di Pagamento, Meta per quanto riguarda l'account WhatsApp Business del Cliente, e le piattaforme di consegna. L'invio di dati a tali soggetti su istruzione del Cliente costituisce un trasferimento effettuato su indicazione del Cliente e per suo conto.

6.6 I dati vengono inviati al fornitore delle Funzionalità di IA solo quando un Utente richiede una di tali funzionalità, quando un Utente carica un documento perché una di esse lo legga, come una ricevuta, oppure quando un'automazione configurata da un Utente esegue una fase che utilizza l'IA, e vengono inviati soltanto i dati necessari per eseguire tale richiesta o fase. Il fornitore non può utilizzarli per addestrare i propri modelli. I Dati Personali Sensibili gli vengono inviati solo se la richiesta o la fase stessa li contiene.

7. Ubicazione dei dati e trasferimenti internazionali

7.1 I Servizi sono ospitati, e i Dati Personali del Cliente sono conservati principalmente, nell'Ambiente di Produzione di Amazon Web Services nella regione di Francoforte, nella Repubblica federale di Germania. I Backup sono conservati nella stessa regione, e ne vengono effettuate copie in una regione separata di Amazon Web Services nella Repubblica d'Irlanda.

7.2 Il Cliente prende atto di quanto segue e autorizza espressamente i trasferimenti che ne derivano:

• (a) l'hosting avviene nell'Unione europea, che può trovarsi al di fuori del paese in cui il Cliente è stabilito o svolge la propria attività;
• (b) Cloudflare tratta il traffico di rete attraverso la propria rete globale in ogni momento;
• (c) gli altri Sub-responsabili elencati nell'Allegato 3 trattano dati in altri paesi, compresi gli Stati Uniti d'America, solo quando viene utilizzato il servizio in questione;
• (d) i dipendenti di STAK possono accedere ai dati dallo Stato del Kuwait, solo nei casi previsti dalla clausola 4.

7.3 Per i trasferimenti di Dati Personali del Cliente al di fuori del paese in cui sono stati raccolti, STAK applica le seguenti garanzie:

• (a) i contratti di cui alla clausola 6.2, comprese le clausole contrattuali tipo che STAK ha in essere con Sub-responsabili al di fuori dell'Unione europea;
• (b) la cifratura in transito e a riposo;
• (c) i meccanismi di trasferimento riconosciuti dalla Legge sulla Protezione dei Dati Applicabile quando questa li richiede, compresi quelli di cui alla clausola 7.6.

7.4 Il Cliente deve ottenere qualsiasi consenso o autorizzazione che la legge del proprio paese richiede per trasferire Dati Personali del Cliente al di fuori di tale paese, sia da un'autorità di regolamentazione sia dagli Interessati. STAK fornisce su richiesta le informazioni necessarie a tal fine.

7.5 STAK può spostare l'hosting principale o i Backup in un'altra regione previa comunicazione al Cliente con almeno 30 giorni di anticipo, e il Cliente può opporsi ai sensi della clausola 6.4, con qualsiasi recesso ai sensi di tale clausola che produce effetto prima della data dello spostamento. L'esecuzione temporanea dei Servizi dai Backup nella Repubblica d'Irlanda dopo la perdita della regione di hosting principale non costituisce uno spostamento ai sensi della presente clausola, e STAK ne informa il Cliente senza ritardo.

7.6 Meccanismi di trasferimento richiesti dalla legge: fatta salva la clausola 7.4:

• (a) Quando il Regolamento generale sulla protezione dei dati dell'Unione europea si applica al Cliente, le clausole contrattuali tipo adottate con la decisione di esecuzione (UE) 2021/914 della Commissione europea (le «CCT UE») sono incorporate per riferimento nel presente Accordo sul Trattamento dei Dati: il Modulo Due (da titolare a responsabile del trattamento) quando il Cliente è un titolare del trattamento, e il Modulo Tre (da responsabile a responsabile del trattamento) quando tratta i dati per conto di un altro titolare. Il Cliente è l'esportatore dei dati e STAK l'importatore dei dati. Si applica la Clausola 7 (clausola di adesione). Ai sensi della Clausola 9(a), si applica l'Opzione 2 (autorizzazione scritta generale), con il termine di preavviso di cui alla clausola 6.3. La formulazione facoltativa della Clausola 11(a) non si applica. Ai sensi delle Clausole 17 e 18, si applicano la legge e i tribunali della Repubblica d'Irlanda. L'autorità di controllo competente è determinata ai sensi della Clausola 13. I relativi allegati sono completati dagli Allegati 1, 2 e 3. Esse prevalgono sul Contratto in caso di conflitto tra i due.
• (b) Quando la Legge sulla Protezione dei Dati Personali del Regno dell'Arabia Saudita si applica al Cliente, le Clausole Contrattuali Tipo per il Trasferimento di Dati Personali emanate dall'Autorità Saudita per i Dati e l'Intelligenza Artificiale, Secondo Modello (da titolare a responsabile del trattamento), sono incorporate per riferimento nel presente Accordo sul Trattamento dei Dati. Il Cliente è l'esportatore dei dati e STAK l'importatore dei dati, e le relative appendici sono completate dagli Allegati 1, 2 e 3. STAK fornisce al Cliente le informazioni di cui ha bisogno per la valutazione del rischio del trasferimento che deve effettuare ai sensi del Regolamento sul Trasferimento di Dati Personali al di fuori del Regno. Esse prevalgono sul Contratto in caso di conflitto tra i due.
• (c) Quando il Decreto-Legge Federale n. (45) del 2021 degli Emirati Arabi Uniti si applica al Cliente, STAK applica ai dati trasferiti le disposizioni, le misure e i controlli di tale legge, nella misura in cui si applicano a un responsabile del trattamento.
• (d) Quando il Regolamento generale sulla protezione dei dati del Regno Unito si applica al Cliente, è incorporato per riferimento l'Addendum sul trasferimento internazionale di dati (International Data Transfer Addendum) alle CCT UE, emesso dall'Information Commissioner del Regno Unito (versione B1.0, in vigore dal 21 marzo 2022, come successivamente modificata). Le Tabelle da 1 a 3 sono compilate con i dati delle Parti indicati nel Contratto e negli Allegati da 1 a 3. Per la Tabella 4, ciascuna Parte può porre fine all'Addendum come consentito dalla sua Sezione 19.
• (e) Quando la Legge federale svizzera sulla protezione dei dati si applica al Cliente, le CCT UE si applicano con le seguenti modifiche: l'Incaricato federale svizzero della protezione dei dati e della trasparenza è l'autorità di controllo competente per i trasferimenti disciplinati da tale Legge; i riferimenti al GDPR comprendono tale Legge; e «Stato membro» è inteso in modo che gli interessati in Svizzera possano proporre azioni in Svizzera.
• (f) Quando un'altra Legge sulla Protezione dei Dati Applicabile richiede uno strumento di trasferimento specifico, come le clausole contrattuali tipo dell'autorità nazionale brasiliana per la protezione dei dati o il contratto tipo previsto dalla Legge turca n. 6698, STAK sottoscrive o incorpora tale strumento su richiesta del Cliente, con i relativi dati completati a partire dagli Allegati da 1 a 3.
• (g) Quando si applica il California Consumer Privacy Act (legge della California sulla privacy dei consumatori) o una legge statale analoga degli Stati Uniti in materia di privacy, STAK agisce in qualità di fornitore di servizi, appaltatore o responsabile del trattamento del Cliente. STAK non vende né condivide i Dati Personali del Cliente. Non li conserva, utilizza o divulga per finalità diverse dalla fornitura dei Servizi ai sensi del Contratto, né al di fuori del rapporto commerciale diretto con il Cliente. Non li combina con informazioni personali provenienti da altre fonti, salvo nei limiti consentiti da tali leggi. Rispetta tali leggi e garantisce lo stesso livello di tutela della privacy da esse richiesto. Informa il Cliente qualora non sia più in grado di adempiere a tali obblighi. Il Cliente può adottare misure ragionevoli per far cessare e porre rimedio a qualsiasi uso non autorizzato. STAK certifica di comprendere tali restrizioni.

7.7 Dati che devono rimanere in un determinato paese: il Cliente non deve conservare nei Servizi dati che la Legge Applicabile richiede di conservare o trattare all'interno di un determinato paese, a meno che i Servizi indichino, ai sensi della clausola 9.5 delle Condizioni, che l'hosting in tale paese è disponibile per l'App interessata. Ciò discende dalla clausola 13.4 delle Condizioni e dalla clausola 5.4 della Politica di Uso Accettabile.

8. Assistenza per le richieste degli Interessati

8.1 I Servizi mettono a disposizione del Cliente strumenti per visualizzare, esportare e correggere i Dati Personali dei propri Clienti Finali, uno strumento per cancellarli sostituendone l'identità con uno pseudonimo e conservando le registrazioni che la legge impone di conservare, e strumenti per visualizzare e correggere i dati dei propri dipendenti. Il Cliente utilizza tali strumenti per rispondere alle richieste degli Interessati, e STAK presta assistenza ai sensi della clausola 8.3 per tutto ciò che essi non coprono, compresa l'esportazione e la cancellazione dei dati dei dipendenti.

8.2 Se STAK riceve direttamente da un Interessato una richiesta relativa a Dati Personali del Cliente, la trasmette al Cliente senza ritardo e risponde soltanto su istruzione del Cliente.

8.3 STAK presta al Cliente un'assistenza ragionevole per tutto ciò che gli strumenti disponibili non coprono.

9. Notifica di una Violazione dei Dati Personali

9.1 STAK informa il Cliente senza indebito ritardo dopo essere venuta a conoscenza di qualsiasi Violazione dei Dati Personali che interessi Dati Personali del Cliente. Lo fa entro 24 ore da quando ne viene a conoscenza, ove possibile, e in ogni caso entro 48 ore.

9.2 L'avviso comprende, nella misura in cui le informazioni sono disponibili:

• (a) la natura della violazione;
• (b) le categorie di dati e di Interessati e il loro numero approssimativo;
• (c) le probabili conseguenze;
• (d) le misure adottate e proposte per porre rimedio alla violazione;
• (e) un punto di contatto presso STAK.

STAK fornisce ulteriori informazioni non appena disponibili.

9.3 STAK adotta immediatamente misure ragionevoli per contenere la violazione e limitarne gli effetti. Collabora con il Cliente nella notifica alle autorità di regolamentazione e agli Interessati quando il Cliente è tenuto a effettuarla, tenendo conto dei termini che la legge stabilisce per il Cliente. Quando la Legge Applicabile impone a STAK stessa di notificare la violazione a un'autorità di regolamentazione, STAK vi provvede entro il termine richiesto e ne informa il Cliente.

9.4 La comunicazione di una violazione da parte di STAK, o la sua collaborazione nel gestirla, non costituisce ammissione di colpa o di responsabilità.

10. Valutazioni d'impatto e consultazione delle autorità di regolamentazione

Su richiesta del Cliente, STAK fornisce le informazioni ragionevoli necessarie per effettuare una valutazione d'impatto sulla protezione dei dati o per consultare un'autorità di regolamentazione, nella misura in cui riguardi i Servizi.

11. Informazioni e audit

11.1 Su richiesta del Cliente, STAK fornisce le informazioni ragionevolmente necessarie per dimostrare la propria conformità al presente Accordo sul Trattamento dei Dati. Ciò comprende la documentazione sulla sicurezza e le risposte a un questionario di sicurezza all'anno.

11.2 Il Cliente può, a proprie spese, effettuare un audit, o farlo effettuare da un revisore indipendente vincolato alla riservatezza, nei casi seguenti:

• (a) quando lo richiede un'autorità di regolamentazione;
• (b) dopo una Violazione dei Dati Personali che interessi i suoi dati;
• (c) quando le informazioni fornite ai sensi della clausola 11.1 non sono sufficienti.

L'audit è soggetto alle seguenti condizioni:

• Il Cliente comunica l'audit a STAK con almeno 30 giorni di anticipo.
• Si svolge durante l'orario di lavoro nei Giorni Lavorativi.
• Un audit ai sensi della lettera (c) ha luogo non più di una volta all'anno.
• Nessun audit si estende alle strutture dei Sub-responsabili. In loro luogo sono sufficienti le loro certificazioni e i loro rapporti indipendenti.
• Nessun audit comprende l'accesso ai dati di altri clienti o a qualsiasi elemento che ne pregiudichi la sicurezza.

12. Restituzione e cancellazione dei dati

12.1 Il Cliente può esportare i Dati Personali del Cliente in qualsiasi momento, e per 30 giorni dopo la cessazione del Contratto, ai sensi della clausola 19.5 delle Condizioni.

12.2 Terminato il periodo di esportazione, STAK cancella i Dati Personali del Cliente dall'Ambiente di Produzione entro 30 giorni, salvo che la Legge Applicabile ne imponga la conservazione, e fatto salvo il blocco previsto dalla clausola 19.5 delle Condizioni per il tempo in cui a STAK è stata notificata una controversia giudiziaria, un'indagine o una richiesta di un'autorità competente.

12.3 I Backup sono conservati per i seguenti periodi di conservazione:

• (a) il ripristino a un punto nel tempo e i Backup giornalieri: 35 giorni dalla data in cui viene effettuato ciascun Backup;
• (b) Backup logici notturni del database (dump del database): 35 giorni;
• (c) Backup mensili: 12 mesi dalla data in cui viene effettuato ciascun Backup;
• (d) le versioni precedenti dei file caricati: 90 giorni dalla data in cui sono sostituiti o cancellati.

Regole applicabili a tali Backup:

• I Backup giornalieri e mensili e le relative copie sono conservati in vault di backup la cui policy impedisce a chiunque, compreso il personale di STAK, di cancellare un Backup prima della fine del periodo di conservazione o di modificare tale periodo, e il cui blocco in modalità compliance (compliance mode) del fornitore di hosting impedisce la cancellazione di qualsiasi Backup per almeno i suoi primi 35 giorni.
• I Backup logici notturni sono protetti da alterazione e cancellazione fino alla fine del periodo di conservazione.
• STAK non cancella alcun Backup prima della fine del relativo periodo di conservazione, nemmeno su richiesta del Cliente.
• Tutti i Backup sono messi fuori uso e sono utilizzati soltanto per il ripristino tecnico, fatta salva la clausola 12.4, o quando la legge lo richiede.
• Tutti i Backup che contengono dati cancellati scadono al termine di tali periodi, ossia entro 12 mesi al massimo, e i dati cancellati vengono quindi distrutti in modo permanente.
• Su richiesta, STAK comunica al Cliente la data in cui scade l'ultimo Backup che contiene dati cancellati, affinché il Cliente possa informarne l'Interessato.

12.4 Se STAK ripristina un Backup durante tali periodi, riapplica, prima che i dati siano resi disponibili, le cancellazioni effettuate ai sensi della clausola 8.1 e le eliminazioni effettuate ai sensi della clausola 12.2 dopo la data di tale Backup, utilizzando le registrazioni che conserva di tali operazioni.

13. Richieste delle autorità governative

Se STAK riceve da un'autorità governativa o giudiziaria una richiesta vincolante di divulgare Dati Personali del Cliente, ne informa il Cliente, salvo che la legge vieti tale comunicazione. STAK limita la divulgazione al minimo richiesto dalla richiesta. Contesta le richieste che ritiene ragionevolmente illecite, attraverso i mezzi legali disponibili.

14. Responsabilità

La responsabilità di ciascuna Parte ai sensi del presente Accordo sul Trattamento dei Dati, compresa la responsabilità nei confronti dell'altra Parte ai sensi delle clausole contrattuali tipo di cui alla clausola 7.6, è soggetta alle disposizioni sulla limitazione di responsabilità della clausola 16 delle Condizioni, nella misura in cui tali clausole lo consentano e senza pregiudizio per i diritti degli Interessati ai sensi delle stesse.

15. Durata e prevalenza

15.1 Il presente Accordo sul Trattamento dei Dati si applica finché STAK tratta Dati Personali del Cliente.

15.2 In caso di conflitto tra il presente Accordo sul Trattamento dei Dati e le Condizioni, esso prevale nelle materie riguardanti i Dati Personali del Cliente.

15.3 Quando la Legge sulla Protezione dei Dati Applicabile impone un obbligo inderogabile più rigoroso di quelli del presente Accordo sul Trattamento dei Dati, tale obbligo si applica nell'ambito di sua competenza.

16. Referente per la protezione dei dati e registro dei trattamenti

STAK ha designato un referente per la protezione dei dati, raggiungibile per e-mail all'indirizzo [email protected]. STAK tiene un registro delle attività di trattamento che svolge per conto dei clienti, e lo mette a disposizione dell'autorità di regolamentazione competente quando la legge lo richiede.

Allegato 1: Dettagli del Trattamento

• Oggetto: fornire i Servizi al Cliente ai sensi delle Condizioni.
• Durata: la durata del Contratto, il periodo di esportazione e cancellazione successivo ai sensi della clausola 12, i periodi di conservazione dei Backup di cui alla clausola 12.3 e i periodi di conservazione dei Sub-responsabili indicati nell'Allegato 3.
• Natura e finalità:
  • conservare e ospitare i Dati del Cliente;
  • elaborare vendite, ordini, prenotazioni e fatture;
  • gestire magazzino, contabilità, risorse umane e paghe;
  • inviare i messaggi richiesti dal Cliente tramite i propri account presso i Fornitori Collegati, o tramite i fornitori di messaggistica di cui STAK si avvale una volta elencati nell'Allegato 3;
  • fornire le Funzionalità di IA quando vengono utilizzate;
  • Backup, sicurezza e Assistenza.
• Categorie di Interessati:
  • i Clienti Finali, gli ospiti e i pazienti del Cliente;
  • i propri dipendenti e i candidati all'assunzione;
  • Utenti;
  • i propri fornitori e i loro referenti;
  • conducenti e corrieri.
• Categorie di Dati Personali:
  • dati identificativi e di contatto, come nome, telefono, e-mail, indirizzo e luogo di consegna;
  • le registrazioni di transazioni, ordini, prenotazioni e fatture;
  • i riferimenti collegati ai pagamenti, senza numeri di carta completi;
  • dati di fidelizzazione, preferenze e consensi;
  • i dati dei dipendenti del Cliente, come il numero di identificazione civile, i dati di residenza, lo stipendio, il numero di conto bancario internazionale (IBAN), le presenze e i congedi;
  • le foto e i documenti che il Cliente carica;
  • i registri dei messaggi e la traccia di audit.
• Dati Personali Sensibili: i dati sanitari e clinici quando vengono utilizzate le App per cliniche, fatta salva la clausola 7.7 e la clausola 13.4 delle Condizioni, ai sensi della quale le funzionalità relative alle cartelle dei pazienti non devono essere utilizzate per pazienti che ricevono servizi sanitari nello Stato del Kuwait o negli Emirati Arabi Uniti; e i dati sanitari nei fascicoli delle risorse umane, come i certificati di malattia. Le cartelle cliniche e i fascicoli delle risorse umane sono cifrati con chiavi separate, e tali dati sono visibili soltanto agli Utenti che rivestono i ruoli autorizzati a vederli. I codici di diagnosi e di procedura nelle richieste di rimborso assicurative e nelle autorizzazioni preventive, e le immagini delle tessere assicurative, sono protetti dalla cifratura del database e dell'archiviazione descritta nell'Allegato 2.

Allegato 2: Misure tecniche e organizzative

1. Cifratura:
   • I dati in transito sono cifrati con TLS versione 1.2 o successiva, e l'identità del server del database viene verificata a ogni connessione.
   • I dati a riposo in database, dischi, file, Backup e nell'archivio dei segreti sono cifrati con AES-256, mediante chiavi gestite tramite l'AWS Key Management Service (AWS KMS) o dal fornitore di hosting.
   • I fascicoli delle risorse umane e le cartelle cliniche sono inoltre cifrati all'interno dell'applicazione con chiavi separate, e i dati di connessione dei Fornitori Collegati sono conservati in un archivio dei segreti separato, cifrato con una chiave separata.
2. Isolamento dei dati di ciascun cliente: ogni record di Dati del Cliente riporta l'identificativo dell'Attività a cui appartiene. Le policy di sicurezza a livello di riga nel database si applicano al ruolo dell'applicazione, e il ruolo dell'applicazione non ha l'autorizzazione di aggirarle. I vincoli a chiave composta impediscono che i record di un'Attività siano collegati a quelli di un'altra.
3. Controllo degli accessi:
   • L'accesso è concesso in base al principio del minimo privilegio.
   • L'accesso all'Ambiente di Produzione è limitato a dipendenti di STAK nominativamente designati, richiede l'autenticazione a più fattori e l'inizio di ogni accesso viene registrato.
   • L'accesso amministrativo ai server avviene soltanto tramite AWS Systems Manager, senza accesso diretto (SSH).
4. Sicurezza dell'accesso degli Utenti:
   • Per gli Utenti, i Servizi offrono passkey, app di autenticazione e codici di verifica inviati a un telefono verificato.
   • Per il Cliente, offrono ruoli e permessi personalizzabili, accesso limitato per Filiale e, nei Piani che li includono, regole di inattività della sessione e avvisi ai Proprietari per gli accessi da nuovi dispositivi.
5. Traccia di audit: viene conservata una traccia di audit delle modifiche che nessun Utente può alterare o cancellare. Essa registra l'autore, l'ora, l'origine e l'indirizzo IP. Quando il Cliente cancella i Dati Personali di un Cliente Finale ai sensi della clausola 8.1, le voci perdono i dati identificativi di tale persona ma conservano ciò che è stato fatto, da chi e quando. La traccia di audit viene cancellata insieme ai Dati del Cliente ai sensi della clausola 12. Le registrazioni contabili sono collegate in una catena che rivela qualsiasi manomissione.
6. Backup e ripristino:
   • i Backup continui e automatizzati consentono il ripristino a un punto nel tempo entro 35 giorni;
   • i Backup giornalieri sono conservati per 35 giorni e quelli mensili per 12 mesi, e vengono copiati in una regione geografica separata nella Repubblica d'Irlanda. La policy dei vault di backup ne impedisce la cancellazione prima della fine del periodo di conservazione o qualsiasi modifica di tale periodo, e un blocco in modalità compliance (compliance mode) impedisce la cancellazione di qualsiasi Backup per almeno i suoi primi 35 giorni;
   • ogni notte viene effettuato un Backup logico del database, conservato per 35 giorni in uno spazio di archiviazione protetto da alterazione e cancellazione;
   • il ripristino del database dai Backup viene verificato ogni mese.
7. Dati di pagamento: i Servizi sono progettati in modo che STAK non conservi i numeri completi delle carte. I pagamenti vengono effettuati su pagine ospitate dai Prestatori di Servizi di Pagamento o sui loro terminali e app certificati per l'accettazione delle carte. Le schermate dei Servizi non contengono campi per l'inserimento dei dati della carta, e i Servizi consentono al Cliente di analizzare i campi di testo libero alla ricerca di numeri di carta inseriti per errore affinché possano essere rimossi.
8. Rete e infrastruttura: i database funzionano in reti private non raggiungibili pubblicamente, dietro firewall. Un web application firewall e la protezione dagli attacchi denial-of-service sono forniti tramite Cloudflare.
9. Gestione delle vulnerabilità e sviluppo sicuro: il codice viene revisionato e vengono eseguiti test automatizzati prima di ogni rilascio. Le librerie software vengono controllate e gli aggiornamenti di sicurezza sono applicati senza ritardo.
10. Monitoraggio e risposta agli incidenti:
    • l'infrastruttura cloud è monitorata automaticamente ventiquattro ore su ventiquattro, con avvisi immediati;
    • ogni azione amministrativa sull'infrastruttura cloud viene registrata, e le minacce e i permessi eccessivi sono rilevati automaticamente tramite servizi Amazon dedicati (AWS CloudTrail, GuardDuty e IAM Access Analyzer);
    • si applicano procedure documentate per rispondere agli Incidenti di Sicurezza e per la notifica ai sensi della clausola 9.
11. Continuità operativa: si applicano piani di continuità e ripristino, in linea con gli obiettivi di ripristino dell'Accordo sul Livello di Servizio.
12. Personale: I dipendenti e i collaboratori di STAK sono vincolati alla riservatezza e ricevono una formazione di sensibilizzazione sulla sicurezza.
13. Cancellazione sicura: i dati vengono cancellati ai sensi della clausola 12, e il fornitore di hosting distrugge i supporti in conformità ai propri standard.

Allegato 3: Sub-responsabili

Fornitori utilizzati solo quando attivati. STAK ha configurato i seguenti fornitori ma attualmente non li utilizza per trattare Dati Personali del Cliente. Inizia a utilizzarne uno solo dopo aver dato avviso ai sensi della clausola 6.3, con almeno 30 giorni di anticipo, e l'avviso indica dove il fornitore tratta i dati e per quanto tempo li conserva.

Una volta attivato da STAK il proprio numero WhatsApp, Meta invia da esso codici di accesso agli Utenti e codici di verifica ai Clienti Finali che verificano il proprio numero di telefono sulle Pagine Pubbliche. In tal modo tratta dati che STAK tratta in qualità di Titolare del trattamento ai sensi dell'Informativa sulla Privacy, e non Dati Personali del Cliente.

Oltre ai fornitori sopra indicati, STAK non utilizza fornitori di messaggi di testo, notifiche push, portafogli digitali, né di ricerca, verifica e mappatura degli indirizzi per trattare Dati Personali del Cliente.