Accordo di elaborazione dati

Skeyon Lab S.L. — VerificaEmail, Pop-up e Automazione

1. Parti e scopo

Questo accordo di trattamento, d’ora in poi “DPA”, regola il trattamento dei dati personali effettuato da Skeyon Lab S.L., con NIF B65911679 e indirizzo Zamora 105, 6.º 3.ª, 08018 Barcellona, Spagna, di seguito “Skeyon”, per conto della persona fisica o giuridica identificata come cliente nel conto e nel contratto del servizio, d’ora in poi “Cliente”.

Il referente per questioni di protezione dei dati, istruzioni e richieste relative a questa DPA è contactar@verificaremails.com.

La DPA si applica esclusivamente ai servizi contrattati e utilizzati dal Cliente tra quelli descritti nell’Allegato I. Il suo scopo è stabilire le condizioni di trattamento per conto del Cliente in conformità con il Regolamento (UE) 2016/679, di seguito “GDPR”, e ai regolamenti spagnoli applicabili sulla protezione dei dati.

I dati utilizzati da Skeyon per i propri scopi di gestione dei conti, fatturazione e rispetto degli obblighi legali sono regolati dalla corrispondente politica sulla privacy. Questa distinzione non consente il riutilizzo dei contatti forniti a tali scopi per verificare o gestire le campagne.

2. Ruoli e clienti che agiscono per conto di terzi

Il Cliente agisce come responsabile dei dati nella determinazione degli scopi e dei mezzi essenziali del trattamento. In questo caso, Skeyon agisce come responsabile del trattamento dei dati.

Se il Cliente è un’agenzia o un altro fornitore che agisce come processore per conto di una terza parte, Skeyon agirà come sub-processore. Il Cliente deve avere l’autorizzazione necessaria dal responsabile e fornire istruzioni compatibili con l’assegnazione ricevuta. L’uso della piattaforma non costituisce una verifica da parte di Skeyon delle relazioni contrattuali del Cliente con i propri clienti.

I riferimenti in questa DPA alle istruzioni e agli obblighi del Cliente sono ritenuti adattati al suo ruolo effettivo. Il Cliente fornirà, dove necessario, le informazioni che permettono di adempiere agli obblighi del controller finale.

3. Istruzioni e scopo di elaborazione

Skeyon elaborerà i dati solo per fornire i servizi contrattati, seguendo le istruzioni documentate dal Cliente. Le istruzioni sono questi DPA, impostazioni dell’account, transazioni richieste tramite la piattaforma o API e richieste verificate inviate tramite i canali di supporto.

Le istruzioni includono, dove applicabile, comunicazioni con integrazioni o destinatari configurati dal Client. Nessuna integrazione da sola estende gli scopi autorizzati.

Skeyon non riutilizza contatti o risultati di verifica per altri clienti, né per creare propri database di contatti né per addestrare modelli di intelligenza artificiale.

Se una normativa dell’Unione Europea o di uno Stato membro richiede un trattamento diverso, Skeyon informerà il Cliente in anticipo, salvo vieta legale. Se ritiene che un’istruzione violi le normative applicabili, notificherà immediatamente il Cliente e richiederà chiarimenti o correzioni prima di eseguire la parte interessata.

4. Obblighi del Cliente e minimizzazione

È responsabilità del Cliente determinare e dimostrare la legittimità del trattamento, fornire le informazioni richieste ai soggetti dei dati, rispettare i loro diritti e fornire istruzioni legali. Il Cliente deve avere la base legale necessaria per le transazioni richieste, senza questa DPA presupponendo che tale base debba sempre essere il consenso.

Il Cliente fornirà solo i dati adeguati, rilevanti e necessari per il servizio. Deve evitare file con colonne inutili e rivedere i campi personalizzati, i moduli e le integrazioni che configura.

Skeyon non esamina sistematicamente tutti i contenuti per determinarne la natura o l’origine. Questa circostanza non esclude i suoi obblighi come intrattenziale riguardo ai dati personali effettivamente trattati.

I servizi coperti da questa DPA non sono incaricati di elaborare categorie speciali di dati o dati su condanne e reati penali. Il loro trattamento richiederà un accordo preventivo specifico che stabilisca le condizioni e le garanzie applicabili. Se il Cliente rileva di essere stato accidentalmente incorporato, deve richiederne la rimozione o eliminarli utilizzando le funzioni disponibili.

5. Riservatezza e personale autorizzato

L’accesso del personale di Skeyon ai dati è limitato al personale di supporto e, come secondo livello, agli sviluppatori quando una richiesta del Cliente richiede la revisione di un incidente o di un elemento di servizio. L’accesso sarà limitato a quanto necessario per il compito autorizzato.

Il personale di Skeyon riceve accessi dalla Spagna ed è soggetto a impegni di riservatezza, che rimarranno in vigore dopo la fine della loro relazione con Skeyon. Questa posizione del personale non costituisce una dichiarazione su tutte le sedi di elaborazione dei fornitori dell’Annex III.

La cancellazione eccezionale diretta del database è riservata alla persona autorizzata da Skeyon per questa funzione, internamente denominata “responsabile dei dati”. Questo nome interno non modifica i ruoli legali definiti nella clausola 2 né equivale alla nomina di un responsabile della protezione dei dati.

6. Sicurezza

Skeyon implementerà misure tecniche e organizzative appropriate al rischio e manterrà le misure descritte nell’Allegato II. Esaminerà la loro adeguatezza alla natura dei dati e al funzionamento dei servizi.

L’evoluzione tecnica delle misure non potrà ridurre la protezione compromessa. Il Cliente dovrà proteggere le proprie credenziali, limitare i permessi dei suoi utenti e utilizzare le funzioni disponibili in conformità con i propri obblighi di sicurezza.

7. Subprocessori

Il Cliente concede un’autorizzazione generale all’uso dei subprocessori identificati nell’Allegato III, all’interno delle funzioni descritte. Skeyon imporrà loro per iscritto obblighi di protezione dei dati equivalenti a quelli applicabili al trattamento a loro affidato e rimarrà responsabile nei confronti del Client per l’adempimento di tali obblighi da parte dei sub-processori.

Skeyon fornirà un preavviso di qualsiasi aggiunta o sostituzione pianificata, identificando il fornitore, il suo ruolo e le località rilevanti. Il Cliente potrà presentare un’obiezione basata sulla protezione dei dati prima che il nuovo fornitore elabori i propri dati. Sarà concesso un periodo di tempo ragionevole per esaminare la modifica; il semplice aggiornamento silenzioso di un sito web non sarà considerato sufficiente.

Le parti valuteranno un’alternativa valida a un’opposizione ben fondata. Se non può essere risolta, il servizio interessato potrà essere terminato, applicando gli obblighi di restituzione e cancellazione di questa DPA.

Secondo l’ambito dichiarato per questa release, nessun fornitore esterno viene utilizzato per eseguire i controlli di verifica commissionati da Skeyon. I fornitori di infrastrutture sono elencati nell’Allegato III. Questa disposizione non esclude le interazioni tecniche richieste con i sistemi target per eseguire i controlli richiesti.

8. Località internazionali e trasferimenti

Le località di elaborazione e i fornitori sono descritti nell’Allegato III. L’indirizzo registrato di un fornitore non determina da solo dove elabora i dati.

Quando un trattamento, un accesso remoto o una comunicazione costituisce un trasferimento internazionale, Skeyon garantirà che i requisiti del Capitolo V del GDPR siano soddisfatti. Quando applicabile, una decisione di adeguatezza applicabile o le garanzie appropriate, incluse clausole contrattuali standard, saranno utilizzate con le valutazioni necessarie e le misure complementari

Questa DPA non incorpora da sola clausole contrattuali standard per i trasferimenti internazionali né sostituisce gli strumenti che devono essere conclusi con i destinatari. Né la sua accettazione costituisce un consenso generale per trasferimenti non soggetti ai regolamenti.

9. Diritti e supporto del cliente

Skeyon assisterà il Cliente, tenendo conto della natura del trattamento e delle informazioni disponibili, a rispondere alle richieste di esercitare diritti e a rispettare i propri obblighi in materia di sicurezza, valutazione dell’impatto e consultazione preventiva.

riceve direttamente una richiesta riguardante i dati trattati per conto del Cliente, la inoltro al Cliente senza indebito ritardo e non deciderà sui loro meriti in modo indipendente, salvo richiesta legale o istruzioni espresse.

Le richieste saranno gestite tramite le funzioni del cruscotto o, se necessario, tramite il supporto. Una cancellazione selettiva eccezionale nel database richiederà una richiesta verificata e gli identificatori necessari per localizzare l’account e i registri, ed essa sarà eseguita dalla persona autorizzata di Skeyon.

10. Violazioni della sicurezza

Skeyon ha una procedura di gestione degli incidenti. Il team di supporto riceve le comunicazioni e le indirizza alla gestione.

Skeyon notificherà al Cliente, senza indebito ritardo dalla sua presenza, delle violazioni della sicurezza dei dati personali che influenzano i dati trattati per suo conto. La comunicazione includerà le informazioni disponibili sulla natura dell’incidente, i dati e le persone interessate, le conseguenze probabili, le misure adottate o proposte e un contatto per il follow-up.

Se inizialmente non dispone di tutti i dettagli, fornirà aggiornamenti senza ritardo indebito. Collaborerà con il Cliente nelle corrispondenti azioni di contenimento, valutazione e comunicazione. La notifica non sarà ritardata fino a quando non sarà disponibile un’indagine definitiva.

11. Conservazione e fine del trattamento

Si applicano i periodi differenziati nell’Allegato I. La ritenzione temporanea per la verifica non è equivalente alla ritenzione continua richiesta dal Cliente quando si utilizzano Pop-up o Automazione.

Al termine del servizio, il Cliente può richiedere la restituzione dei dati disponibili o la loro cancellazione. La restituzione sarà effettuata tramite download o tramite procedura concordata prima della scadenza del periodo di cancellazione. Non sarà possibile restituire dati già cancellati in conformità con le istruzioni e le scadenze applicabili.

I backup in attesa di cancellazione rimarranno protetti e non saranno utilizzati per un uso ordinario. Se è necessario il ripristino, devono essere rispettati ordini di cancellazione precedenti per evitare la reintroduzione attiva dei dati cancellati.

Quando un obbligo legale richiede la conservazione di determinati dati, solo i dati necessari saranno conservati, limitandone l’elaborazione a tale obbligo e cancellandoli al termine del periodo richiesto.

12. Informazioni e audit

Skeyon metterà a disposizione del Cliente le informazioni necessarie per dimostrare la conformità a questa DPA e consentirà e contribuirà agli audit e ispezioni effettuati dal Cliente o da un revisore autorizzato dal Cliente.

Le parti coordineranno l’ambito, i tempi e le misure di riservatezza per proteggere i dati degli altri clienti e la sicurezza del servizio. Le informazioni documentali potranno essere utilizzate inizialmente quando sufficiente, senza ostacolare ulteriori verifiche giustificate o i poteri delle autorità di supervisione.

13. Validità elettronica e accettazione

Il DPA farà parte delle condizioni contrattuali quando viene fornito al Cliente prima del contratto ed è espressamente incorporato nella sua accettazione. L’identità del Cliente sarà quella indicata nel conto e nel contratto; chi accetta per suo conto dichiara di avere il diritto di vincolarlo.

L’accettazione può essere effettuata elettronicamente, conservando prove del conto, della data e della versione accettata. La semplice disponibilità pubblica del documento non sostituisce la sua incorporazione nel contratto. Per i clienti esistenti, l’adesione corrispondente sarà documentata.

La DPA rimarrà in vigore finché Skeyon elaborerà i dati per conto del Cliente, inclusi i successivi obblighi di riservatezza, restituzione e cancellazione. Le modifiche materiali devono essere comunicate e formalizzate in conformità con il contratto e le normative applicabili.

14. Relazione con i termini e le condizioni generali

In caso di contraddizione, questa DPA prevale sui termini e condizioni generali riguardanti il trattamento dei dati a nome del Cliente. Nessuna limitazione contrattuale esclude obblighi o responsabilità obbligatorie, diritti dei soggetti interessati o poteri delle autorità.

Si applicheranno la legge spagnola e il GDPR. La risoluzione delle controversie sarà regolata dalle disposizioni valide del contratto principale, rispettando le regole obbligatorie applicabili.

Allegato I Descrizione del trattamento e archiviazione

A Verifica dati

Prodotti: verifica di email, numeri di telefono, nomi e indirizzi postali, utilizzando i metodi contrattati, inclusi API e file.

Scopo e operazioni: ricezione, lettura, controllo, standardizzazione o correzione quando parte del prodotto, generazione e consegna dei risultati e cancellazione. Il risultato viene utilizzato per rispondere alla richiesta del Cliente.

Dati: indirizzi email, numeri di telefono, nomi, cognomi, indirizzi postali, identificatori forniti dal Cliente, risultati di validazione e altri campi incorporati nel file necessari per il suo elaboramento. Il Cliente deve escludere i campi che non sono destinati a tale scopo.

Soggetti di data: persone i cui dati il Cliente fornisce per la verifica, come clienti, potenziali clienti, contatti professionali o dipendenti, a seconda dell’uso determinato dal Cliente.

Conservazione: file e risultati conservati per il servizio per un massimo di 30 giorni dalla data di verifica, dopo i quali vengono cancellati.

I contatti e le validazioni per altri clienti o l’addestramento di modelli di IA non vengono riutilizzati.

B Pop-up e prodotti di automazione

: piattaforma pop-up e piattaforma di automazione, a seconda delle funzionalità contrattate e attivate.

Scopo e operazioni: acquisizione, registrazione, archiviazione, organizzazione, consulenza, aggiornamento, segmentazione ed esecuzione delle azioni o comunicazioni configurate dal Client, nonché esportazione e cancellazione. Le funzionalità specifiche attivate specificano le istruzioni del Client.

Dati: dati di identificazione e di contatto, campi di modulo e campi personalizzati richiesti, preferenze e stati di abbonamento, e dati di interazione o attività generati dalle funzionalità utilizzate. I dati di prodotto e transazione, quando forniti da un’integrazione attivata e collegati a persone, saranno elaborati solo entro le istruzioni del Cliente.

Soggetti di dati: visitatori che interagiscono con i moduli o i pop-up, abbonati, clienti, potenziali clienti e altre persone i cui dati sono legalmente gestiti dal Cliente.

Conservazione: i dati rimangono finché il cliente mantiene il servizio e non ne ordina la cancellazione. In caso di cancellazione o cessazione del pagamento del servizio corrispondente, saranno cancellati entro un massimo di 30 giorni dall’evento indicato, comprese le copie entro quel periodo globale. La regola di cessazione del pagamento non si applica a un piano gratuito solo perché è gratuito.

C Regole comuni

Allegato II Misure tecniche e organizzative

Le misure confermate per questa versione sono:

• Uso di HTTPS/TLS nelle comunicazioni per accedere ai servizi.
• Crittografia e backup dei file.
• Accesso basato sul ruolo, limitato a funzioni autorizzate.
• Autenticazione multifattore per gli amministratori.
• Accesso da parte del personale Skeyon dalla Spagna.
• Impegni di riservatezza del personale con accesso.
• Attenzione agli incidenti da parte del supporto e accesso di secondo livello da parte degli sviluppatori quando necessario per una richiesta del Client.
• Procedura di gestione degli incidenti.
• Cancellazione degli account tramite il panel e procedura eccezionale di cancellazione selettiva con accesso limitato al database.
• Rotazione dei registri e cancellazione delle copie in conformità con l’Allegato I.

Questo allegato non dichiara certificazioni, audit esterni annuali o algoritmi di crittografia specifici non confermati.

Allegato III Subprocessori e infrastrutture

Hostalia

Entità: TELEFÓNICA SOLUCIONES DE INFORMÁTICA Y COMUNICACIONES DE ESPAÑA S.A.U.
Marchio: Hostelia.
NIF: A78053147.
Indirizzo: Ronda de la Comunicación S/N, Distrito C, Edificio Norte 2, 28050 Madrid, Spagna.
Ruolo: Ospitare, archiviare e gestire i dati di automazione.
Localizzazione dati: Madrid, Spagna.

Noraina

Entità: Noraina Ltd.
Indirizzo: Unità 3D North Point House, North Business Park, Cork, Co. Cork, T23 AT2P, Irlanda.
Numero di iscrizione: 614532.
ID IVA: IE3505981KH.
Funzione: hosting, archiviazione e gestione dei dati dei servizi di verifica e dei pop-up.
Data Center:

Fiamma di nuvola

Entità: Cloudflare, Inc.
Indirizzo: 101 Townsend Street, San Francisco, California 94107, Stati Uniti.
L’EIN USA fornito: 270805829.
Funzione: Cache e servizi proxy per l’infrastruttura di servizio.
Configurazione dichiarata: uso della regione europea.

Il riferimento alla regione europea non costituisce una garanzia di elaborazione esclusiva all’interno dello Spazio Economico Europeo. I trasferimenti internazionali, ove applicabile, saranno regolati dalla clausola 8.