Accordo sul trattamento dei dati

1. Definizioni

«Legge sulla protezione dei dati» indica il GDPR del Regno Unito, il Data Protection Act 2018 del Regno Unito, il GDPR dell'UE e ogni altra legge sulla protezione dei dati che si applica al trattamento. «Dati personali», «trattamento», «titolare del trattamento», «responsabile del trattamento», «interessato» e «violazione dei dati personali» hanno il significato che hanno in tale legge. «Servizio» ha il significato che ha nei Termini.

2. Cosa copre questo DPA

Questo DPA non copre i dati che usiamo per scopi nostri, come i dati dell'account, la fatturazione, la prevenzione delle frodi e i registri degli ordini che conserviamo per obbligo di legge. Di questi dati siamo noi il titolare del trattamento, e l'Informativa sulla privacy li spiega.

3. Le tue responsabilità

• Decidi tu perché si trattano i dati dei tuoi visitatori e ti assicuri di avere una base giuridica per farlo.
• Informi i tuoi visitatori e acquirenti su come usi i loro dati, per esempio con una tua informativa sulla privacy collegata dalla tua pagina.
• Ottieni il consenso dove la legge lo richiede, per esempio prima di collegare la Conversions API di Meta, se la legge del luogo in cui si trovano i tuoi visitatori lo richiede.
• Ci dai solo istruzioni lecite. Le tue impostazioni nel Servizio sono le tue istruzioni.

4. Le nostre responsabilità

• Trattiamo i dati personali solo su tue istruzioni documentate, che sono questi Termini, questo DPA e le tue impostazioni, salvo che la legge richieda altrimenti. Se riteniamo che un'istruzione violi la legge, te lo diciamo.
• Chiunque in LoadFocus LTD possa accedere ai dati è vincolato alla riservatezza.
• Proteggiamo i dati con le misure della sezione 5.
• Usiamo sub-responsabili solo come indica la sezione 6.
• Ti aiutiamo a rispondere alle richieste degli interessati (sezione 7) e negli obblighi su sicurezza, notifiche di violazione e valutazioni d'impatto, nei limiti consentiti dalla natura del trattamento.
• Cancelliamo o restituiamo i dati alla fine del Servizio (sezione 9).
• Ti diamo le informazioni che ti servono per dimostrare che rispettiamo l'articolo 28, e consentiamo gli audit come indica la sezione 10.

5. Misure di sicurezza

• Crittografia in transito: le pagine, l'app e le nostre API sono servite via HTTPS.
• Accesso: il database e l'archivio delle sessioni accettano connessioni solo dai nostri server e richiedono una password. Solo il personale che ne ha bisogno per lavoro può accedere ai sistemi di produzione.
• Segreti: chiavi e password sono conservate in AWS Systems Manager Parameter Store, mai nel nostro codice.
• Account: accesso tramite Google; ogni password salvata è sottoposta a hash con bcrypt; le sessioni usano cookie sicuri e HTTP-only.
• Protezione dagli abusi: limiti di frequenza su accesso e registrazione, e controlli che le richieste arrivino dal nostro sito.
• Minimizzazione dei dati: gli indirizzi IP degli acquirenti sono conservati solo come hash unidirezionale abbreviato; gli identificativi delle carte dei pagamenti non riusciti sono conservati per un massimo di 48 ore.

Rivediamo queste misure quando il Servizio cambia. La pagina sulla sicurezza spiega come segnalare una vulnerabilità.

6. Sub-responsabili

Ci autorizzi a usare questi sub-responsabili per i dati coperti da questo DPA:

Ogni sub-responsabile è vincolato da un contratto scritto con condizioni di protezione dei dati almeno altrettanto protettive di questo DPA. Ne restiamo responsabili.

Ti comunichiamo via email un nuovo sub-responsabile almeno 30 giorni prima che inizi. Entro quel termine puoi opporti via email, indicando i motivi. Se non riusciamo a risolvere la tua obiezione, puoi chiudere il tuo account e ti rimborsiamo le quote prepagate per il periodo che non hai usato.

7. Richieste degli interessati

Se un visitatore o un acquirente ci chiede di accedere ai suoi dati, correggerli o cancellarli, inoltriamo la richiesta a te senza ritardo e non rispondiamo noi, salvo che la legge ce lo imponga. Puoi scrivere a hello@more.you e ti aiutiamo a trovare, esportare o cancellare i dati di quella persona.

8. Violazioni dei dati personali

Se veniamo a conoscenza di una violazione dei dati personali che riguarda dati coperti da questo DPA, te lo comunichiamo senza ingiustificato ritardo e comunque entro 48 ore. Ti diciamo cosa è successo, quali dati e quante persone riguarda, cosa stiamo facendo e chi puoi contattare. Ti inviamo ulteriori dettagli man mano che li veniamo a sapere.

9. Cancellazione al termine

Quando chiudi il tuo account, le tue pagine vengono rimosse e smettiamo di trattare i dati per te. Li cancelliamo entro 90 giorni, salvo che la legge ci imponga di conservarli. Prima di chiudere il tuo account, puoi chiederci a hello@more.you una copia delle tue statistiche e dei tuoi ordini.

10. Informazioni e audit

Su richiesta, rispondiamo a domande scritte ragionevoli su come proteggiamo i dati. Se queste risposte non bastano a dimostrare che rispettiamo questo DPA, o se lo chiede un'autorità di controllo, puoi fare un audit una volta all'anno, con 30 giorni di preavviso, in orario di lavoro, tramite un revisore indipendente vincolato alla riservatezza. L'audit è a tuo carico.

11. Trasferimenti internazionali

Siamo nel Regno Unito e i nostri server sono negli Stati Uniti. Quando i dati personali dal Regno Unito o dallo Spazio economico europeo vanno in un Paese senza decisione di adeguatezza, usiamo un meccanismo di trasferimento riconosciuto dalla legge: l'estensione per il Regno Unito dell'EU-US Data Privacy Framework, se il destinatario è certificato, oppure le clausole contrattuali tipo dell'UE con l'Addendum del Regno Unito.

Se ti trovi nello Spazio economico europeo e riceviamo dati personali da te, tra te e noi si applicano le clausole contrattuali tipo dell'UE (modulo 2, da titolare a responsabile, oppure modulo 3 se sei tu stesso un responsabile), che fanno parte di questo DPA. La clausola 7 non si applica, si applica l'opzione 2 della clausola 9 con il termine di preavviso della sezione 6, il testo facoltativo della clausola 11 non si applica e le clausole 17 e 18 scelgono la legge e i tribunali dell'Irlanda. Gli allegati sono le sezioni 2, 5 e 6 di questo DPA.

12. Responsabilità, ordine dei documenti e legge

I limiti di responsabilità dei Termini si applicano a questo DPA, tranne dove la legge sulla protezione dei dati non li consente. Se questo DPA e i Termini sono in contrasto sui dati personali, prevale questo DPA. Se le clausole contrattuali tipo e questo DPA sono in contrasto, prevalgono le clausole.

Questo DPA è regolato dalla stessa legge dei Termini, tranne dove la sezione 11 o la legge sulla protezione dei dati dispone diversamente. Possiamo aggiornarlo per seguire la legge o le modifiche al Servizio, e ti avvisiamo via email prima di una modifica che riduca la tua tutela.

13. Contatti

Domande su questo DPA: hello@more.you.