Accordo sul trattamento dei dati

1. Oggetto, natura e finalità

Trattiamo i dati personali solo per fornire il Servizio al Cliente: gestione di account e posti, erogazione della formazione sull'alfabetizzazione in materia di AI, valutazione di test e verifiche, rilascio e verifica dei certificati, invio di e-mail, conservazione delle prove della formazione e della traccia di audit, nonché fornitura di report ed esportazioni. Il trattamento consiste in raccolta, conservazione, organizzazione, utilizzo, trasmissione ai sub-responsabili elencati di seguito, cancellazione e nelle altre operazioni necessarie per tali finalità.

2. Durata

Il presente DPA si applica per tutto il tempo in cui trattiamo dati personali per il Cliente: per la durata dell'abbonamento e per il periodo successivo fino alla cancellazione descritto al punto 11.

3. Interessati e categorie di dati

• Interessati: i dipendenti del Cliente a cui è assegnato un posto e gli amministratori del Cliente.
• Dati identificativi e di contatto: nome, e-mail, reparto, ruolo professionale e lingua preferita.
• Dati dell'account: hash della password (Argon2id), dati della verifica in due passaggi se usata, orari di accesso e indirizzi IP.
• Dati della formazione: corsi assegnati, avanzamento e tempo trascorso nelle lezioni, risposte a test e verifiche, risultati e tentativi, certificati, conferme della policy AI del Cliente.
• Registrazioni inserite dal Cliente: l'inventario degli strumenti AI e altri dati inseriti dagli amministratori.
• Registro di audit delle azioni importanti con data e autore.

Il Servizio non è progettato per categorie particolari di dati personali (art. 9 GDPR) e il Cliente non le inserirà.

4. Istruzioni del Cliente

Trattiamo i dati solo su istruzioni documentate del Cliente. Il presente DPA, i Termini di servizio e le impostazioni e azioni degli amministratori del Cliente nel Servizio costituiscono le istruzioni complete del Cliente. Informeremo il Cliente se riteniamo che un'istruzione violi la normativa sulla protezione dei dati, e potremo trattare i dati diversamente solo se lo impone il diritto dell'Unione o di uno Stato membro; in tal caso ne informeremo preventivamente il Cliente, salvo che la legge lo vieti.

5. Riservatezza

Hanno accesso ai dati solo le persone che ne hanno bisogno per gestire o supportare il Servizio, e sono vincolate alla riservatezza.

6. Misure di sicurezza

• Il Servizio e tutti i dati funzionano su un server in un data center in Germania (UE).
• Connessioni cifrate (HTTPS); password conservate solo come hash Argon2id; cookie di sessione firmati e accessibili solo via HTTP.
• Rigorosa separazione dei clienti: ogni richiesta viene verificata rispetto all'utente connesso e alla sua azienda.
• Verifica in due passaggi per gli amministratori, obbligatoria per i nostri account di assistenza e disponibile per ogni amministratore del Cliente.
• Limitazione dei tentativi di accesso, di reimpostazione della password e di verifica dei certificati.
• I segreti conservati, come le credenziali del mittente e-mail e le chiavi della verifica in due passaggi, sono cifrati (AES-256-GCM).
• Le risposte ai test sono valutate sul server; le risposte corrette non arrivano mai al browser.
• Registro di audit delle azioni importanti e registro degli eventi di sicurezza conservato per 30 giorni.
• Backup conservati fino a 30 giorni e una procedura documentata per gli incidenti di sicurezza.

7. Accesso dell'assistenza

Il personale autorizzato dell'assistenza MadHoney può accedere all'account amministratore del Cliente per configurare l'account o risolvere un problema su richiesta del Cliente, oppure quando necessario per proteggere il Servizio. Tale accesso è limitato al pannello di amministrazione (mai lezioni, test o certificati per conto dei dipendenti), è limitato nel tempo ed è registrato nel registro di audit del Cliente.

8. Sub-responsabili

• Hostinger International Ltd. (Cipro) - noleggio del server privato virtuale su cui funziona il Servizio; data center in Germania (UE).
• ZONER a.s. (Repubblica Ceca) - server SMTP per l'invio delle e-mail (inviti, promemoria, notifiche); data center a Brno.

Il Cliente concede un'autorizzazione generale al ricorso a sub-responsabili. A ciascuno di essi imponiamo obblighi di protezione dei dati equivalenti al presente DPA. Informeremo via e-mail gli amministratori del Cliente almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile; il Cliente può opporsi per un motivo giustificato e, se non riusciamo a risolvere l'opposizione, disdire l'abbonamento prima che la modifica entri in vigore.

Paddle.com Market Ltd tratta i dati di pagamento e fatturazione come titolare autonomo (Merchant of Record) e non riceve alcun dato sui dipendenti del Cliente.

9. Assistenza al Cliente

Gli amministratori possono visualizzare, correggere, esportare e cancellare i dati dei propri dipendenti direttamente nel Servizio. Tenuto conto della natura del trattamento, aiuteremo inoltre il Cliente a rispondere alle richieste degli interessati e ad adempiere agli obblighi di cui agli articoli da 32 a 36 GDPR (sicurezza, notifica delle violazioni, valutazione d'impatto sulla protezione dei dati e consultazione preventiva). Le richieste dei dipendenti che ci pervengono vengono inoltrate al Cliente.

10. Violazioni dei dati personali

Notificheremo agli amministratori del Cliente una violazione dei dati personali senza ingiustificato ritardo e comunque entro 48 ore dal momento in cui ne siamo venuti a conoscenza, con le informazioni disponibili ai sensi dell'articolo 33, paragrafo 3, GDPR, e le integreremo man mano che emergeranno ulteriori fatti. Adotteremo misure per contenere la violazione e attenuarne le conseguenze.

11. Cancellazione e restituzione dei dati

Durante l'abbonamento il Cliente può esportare in qualsiasi momento i propri report, le prove della formazione e la traccia di audit. Dopo la fine dell'abbonamento gli amministratori possono ancora accedere per 90 giorni, solo per esportare i dati; poi l'azienda e tutti i suoi dati vengono cancellati automaticamente, salvo che il Cliente chieda una cancellazione anticipata. Le copie nei backup vengono sovrascritte entro 30 giorni. Il presente punto non riguarda i dati che dobbiamo conservare per legge (es. le fatture).

12. Audit

Metteremo a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto del presente DPA e consentiremo audit, comprese ispezioni, da parte del Cliente o di un auditor vincolato alla riservatezza. Gli audit si svolgono con ragionevole preavviso scritto, in orario lavorativo, al massimo una volta all'anno (salvo dopo una violazione dei dati personali) e a spese del Cliente, senza interrompere il Servizio né accedere ai dati di altri clienti.

13. Obblighi del Cliente

Il Cliente è responsabile di disporre di una base giuridica per il trattamento, di informare i propri dipendenti e della liceità dei dati e delle istruzioni che ci fornisce.

14. Responsabilità e legge applicabile

La responsabilità ai sensi del presente DPA segue i Termini di servizio, salvo diversa disposizione del GDPR. Il presente DPA è regolato dalla legge della Repubblica Ceca; le controversie che ne derivano saranno risolte dai tribunali competenti della Repubblica Ceca territorialmente competenti in base alla nostra sede legale. Contatto per le questioni di protezione dei dati: sales@guard-ai.eu.