Traduzione a scopo informativo. In caso di discrepanza prevale la versione originale in lingua inglese, ai sensi della giurisdizione irlandese (Cuandeoro Limited, CRO 813028).
Accordo sul trattamento dei dati di Veripass
Costituisce parte integrante delle Condizioni di servizio.
1. Parti e ruoli. Il Cliente è il titolare del trattamento. Cuandeoro Limited t/a Veripass è il responsabile del trattamento dei dati personali contenuti nei documenti del Cliente e nei contenuti dell'account ("Dati personali del Cliente").
2. Oggetto, natura e finalità. Conservazione, estrazione, analisi e pubblicazione dei dati dei passaporti di prodotto e delle batterie, al solo fine di erogare il Servizio.
3. Durata. La durata dell'abbonamento più il periodo di cancellazione di cui alla clausola 11.
4. Categorie di interessati. Personale e utenti del Cliente; referenti dei fornitori, dei clienti e dei laboratori del Cliente indicati nei documenti caricati.
5. Categorie di dati. Nomi, recapiti aziendali, qualifiche professionali, firme e identificativi presenti nei documenti; dati degli account utente. Non sono previste categorie particolari di dati. Il Cliente non le caricherà.
5A. Obblighi del Cliente. Il Cliente garantisce di disporre di una base giuridica per il trattamento e fornisce istruzioni lecite, informa gli interessati come richiesto e non carica categorie particolari di dati.
6. Obblighi del responsabile del trattamento. Veripass:
- (a) tratta i dati soltanto su istruzione documentata del Cliente, anche in caso di trasferimento verso un paese terzo, salvo che lo richieda il diritto dell'Unione o degli Stati membri, nel qual caso Veripass informa il Cliente di tale obbligo giuridico prima del trattamento, a meno che il diritto in questione lo vieti per rilevanti motivi di interesse pubblico;
- (b) garantisce che le persone autorizzate al trattamento siano vincolate da un obbligo di riservatezza;
- (c) attua le misure tecniche e organizzative di cui all'Allegato 2;
- (d) assiste il Cliente nelle richieste degli interessati e negli adempimenti di cui agli artt. 32-36 GDPR, tenendo conto della natura del trattamento;
- (e) mette a disposizione le informazioni necessarie per dimostrare la conformità;
- (f) informa immediatamente il Cliente qualora un'istruzione violi la normativa in materia di protezione dei dati.
7. Sub-responsabili del trattamento.
- Il Cliente concede un'autorizzazione generale per i sub-responsabili di cui all'Allegato 3.
- Veripass comunica via e-mail i nuovi sub-responsabili con 30 giorni di anticipo. Il Cliente può opporsi per motivi ragionevoli e, qualora non si concordi una soluzione, recedere senza penali.
- Veripass impone a ciascun sub-responsabile obblighi equivalenti in materia di protezione dei dati e ne rimane responsabile.
8. Trasferimenti internazionali. I Dati personali del Cliente possono essere trattati negli Stati Uniti dal fornitore di hosting di Veripass (Cloud Clusters, Inc.) e da Google (Gemini API, livello a pagamento), sulla base delle Clausole contrattuali standard (Decisione (UE) 2021/914 della Commissione) e, ove applicabile, dell'EU-US Data Privacy Framework, con misure supplementari (cifratura in transito e a riposo). I file della demo sono eliminati dopo 24 ore.
9. Elaborazione tramite IA. I documenti sono elaborati dai fornitori di IA di cui all'Allegato 3 secondo condizioni che non consentono loro di utilizzare i dati del Cliente per addestrare i propri modelli. Non utilizziamo i Suoi documenti o dati per addestrare alcun modello di IA.
10. Violazioni dei dati personali. Veripass informa il Cliente senza ingiustificato ritardo e in ogni caso entro 48 ore dal momento in cui viene a conoscenza di una violazione che riguarda i Dati personali del Cliente, fornendo le informazioni richieste dall'art. 33(3) GDPR non appena disponibili.
11. Restituzione e cancellazione. A scelta del Cliente, Veripass restituisce o cancella i Dati personali del Cliente. Entro 60 giorni dalla cessazione il Cliente può esportare i propri dati. Successivamente Veripass cancella i Dati personali del Cliente entro 30 giorni, comprese le copie di backup entro il loro ciclo di rotazione (massimo 35 giorni), salvo che il diritto dell'Unione o degli Stati membri richieda la conservazione.
12. Audit. Veripass consente e contribuisce alle attività di revisione, comprese le ispezioni, realizzate dal Cliente o da un revisore indipendente da questi incaricato e vincolato da riservatezza. Gli audit si svolgono una volta ogni 12 mesi con preavviso di 30 giorni (più spesso in caso di violazione o qualora lo richieda un'autorità di controllo), durante l'orario lavorativo e a spese del Cliente. Se sufficiente, si procede prima con un questionario scritto.
13. Responsabilità. Soggetta alle limitazioni previste dalle Condizioni di servizio, salvo ove il GDPR non consenta limitazioni.
14. Prevalenza. In caso di conflitto, il presente DPA prevale sulle Condizioni in materia di protezione dei dati.
Allegato 1 · Dettagli del trattamento
Come alle clausole da 2 a 5.
Allegato 2 · Misure tecniche e organizzative
- TLS 1.2 o superiore in transito; cifratura AES-256 a riposo.
- Accesso basato sui ruoli, MFA per il personale, privilegio minimo.
- Dati del Cliente separati logicamente per account.
- Registro di audit delle convalide e delle pubblicazioni.
- Backup cifrati giornalieri, rotazione di 35 giorni.
- File della demo eliminati dopo 24 h.
- Correzione delle vulnerabilità critiche entro 7 giorni.
- Revisione annuale di tali misure.
Allegato 3 · Sub-responsabili del trattamento
| Sub-responsabile | Finalità | Ubicazione |
|---|---|---|
| Cloud Clusters, Inc. | Hosting dell'app e delle pagine dei passaporti | Stati Uniti |
| Google (Gemini API, paid tier) | Estrazione dei documenti | Stati Uniti |
| Cloud Clusters, Inc. (own mail server, mailcow) | Stati Uniti |
Stripe elabora i dati di fatturazione propri di Veripass; non elabora Dati personali del Cliente contenuti nei documenti.