Come trattiamo i dati per tuo conto

1. Le parti e l'oggetto

Questo accordo integra le condizioni d'uso di RankGrove (articolo 14) e regola il trattamento dei dati personali che Delion S.r.l.s. (Via Fausto Coppi 72, 00142 Roma, P. IVA IT14456891002, di seguito il «Responsabile») svolge per conto del cliente (di seguito il «Titolare») nell'erogazione del servizio, ai sensi dell'articolo 28 del Regolamento (UE) 2016/679.

Si accetta insieme alle condizioni d'uso, al momento dell'iscrizione, e vale per tutta la durata del rapporto. Per i dati del cliente stesso (account, fatturazione) Delion è invece titolare autonomo: quelli sono descritti nell'informativa privacy.

2. Natura, finalità, durata

Il trattamento consiste nel ricevere, conservare, elaborare con sistemi di intelligenza artificiale e pubblicare sul sito del Titolare i contenuti del suo progetto, e nel conservarne versioni e registro delle consegne. La finalità è una sola: erogare il servizio descritto nelle condizioni d'uso.

Dura quanto l'abbonamento, più i 30 giorni della finestra di esportazione dopo la chiusura dell'account.

3. Dati e interessati

Categorie di dati: i dati personali che il Titolare inserisce nel brief, nelle impostazioni del progetto e negli articoli, o che compaiono nei contenuti già presenti sul suo sito e letti dal servizio: di norma nomi, ruoli, citazioni, recapiti aziendali. Categorie di interessati: collaboratori, clienti, fornitori e persone citate dal Titolare.

Il servizio non è pensato per dati particolari (salute, orientamento, opinioni politiche, dati giudiziari): il Titolare si impegna a non inserirli. Il plugin installato sul WordPress del Titolare non raccoglie dati dei visitatori del sito.

4. Istruzioni del Titolare

Il Responsabile tratta i dati solo su istruzione documentata del Titolare. Le istruzioni sono queste condizioni, la configurazione del progetto e le azioni compiute dal Titolare nell'applicazione (approvare, pubblicare, rigenerare, cancellare). Istruzioni ulteriori si danno per iscritto a info@delion.it.

Se un'istruzione, a nostro giudizio, viola il GDPR o un'altra norma sulla protezione dei dati, lo comunichiamo subito al Titolare prima di eseguirla.

5. Riservatezza del personale

Le persone autorizzate a trattare i dati sono vincolate alla riservatezza per contratto e istruite sulle regole di protezione dei dati. L'accesso ai dati dei clienti è limitato a chi ne ha bisogno per erogare o assistere il servizio, ed è registrato.

6. Misure di sicurezza

Il Responsabile adotta le misure tecniche e organizzative dell'articolo 32 del GDPR, tra cui: connessioni cifrate; password conservate solo come impronta; chiavi dei collegamenti cifrate nel database; accessi ai server limitati alle persone autorizzate e registrati; ambienti separati tra clienti (ogni richiesta è vincolata all'organizzazione di chi la fa, e questo è verificato da prove automatiche a ogni rilascio); copie di sicurezza cifrate presso un fornitore diverso da quello che ospita il database; aggiornamenti del plugin installabili solo se firmati; registro delle operazioni e degli accessi.

Le misure sono aggiornate nel tempo secondo lo stato dell'arte; una loro modifica non riduce il livello di protezione.

7. Sub-responsabili

Il Titolare autorizza in via generale il ricorso ai sub-responsabili elencati qui sotto, che ricevono solo i dati necessari alla loro attività e sono vincolati per contratto agli stessi obblighi di questo accordo.

Le modifiche all'elenco sono comunicate al Titolare via email almeno 30 giorni prima. Il Titolare può opporsi per motivi legittimi entro quel termine: in tal caso può disdire il servizio con effetto immediato, e i corrispettivi del periodo non goduto gli vengono restituiti, in deroga all'articolo 8 delle condizioni. Il Responsabile resta pienamente responsabile verso il Titolare dell'operato dei sub-responsabili.

8. Trasferimenti fuori dall'Unione Europea

I dati sono ospitati nell'Unione Europea. I trasferimenti verso i fornitori di modelli di intelligenza artificiale negli Stati Uniti avvengono sulla base della decisione di adeguatezza per il Data Privacy Framework, quando il fornitore vi aderisce, o delle clausole contrattuali standard della Commissione europea, con le misure supplementari del caso. A questi fornitori arrivano brief, argomenti e testi in lavorazione; mai dati di account o di fatturazione del Titolare.

9. Assistenza al Titolare

Il Responsabile assiste il Titolare, tenuto conto della natura del trattamento, nel dare seguito alle richieste degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione): l'applicazione permette al Titolare di correggere e cancellare i contenuti da solo; per il resto rispondiamo entro 10 giorni dalla richiesta. Assistiamo il Titolare anche nelle valutazioni d'impatto e nelle consultazioni con l'autorità, per quanto riguarda il nostro trattamento.

Le richieste che un interessato rivolge direttamente a noi e che riguardano il trattamento per conto del Titolare gli vengono trasmesse senza rispondere nel merito, salvo diversa istruzione.

10. Violazioni dei dati

Il Responsabile notifica al Titolare ogni violazione di dati personali che riguardi il trattamento per suo conto senza ritardo, e comunque entro 48 ore da quando ne ha avuto conoscenza, con le informazioni disponibili: natura della violazione, categorie e numero approssimativo di interessati e di dati, conseguenze probabili, misure adottate o proposte. Le informazioni mancanti seguono appena disponibili. La notifica all'autorità e agli interessati resta in capo al Titolare, che il Responsabile assiste.

11. Fine del trattamento

Alla chiusura dell'account il Titolare ha 30 giorni per esportare tutti i dati dall'applicazione, in formati leggibili. Decorso il termine il Responsabile cancella i dati personali e le copie esistenti, salvo gli obblighi di conservazione di legge (dati di fatturazione, registro dei consensi). Le copie di sicurezza si sovrascrivono nel loro ciclo ordinario, entro quindici giorni. Gli articoli già pubblicati sul sito del Titolare restano dove sono, sotto il suo controllo.

12. Verifiche

Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto di questo accordo: descrizione delle misure di sicurezza, elenco dei sub-responsabili, esiti delle verifiche interne. Su richiesta scritta e motivata, con preavviso di 30 giorni, il Titolare o un revisore indipendente da lui incaricato e vincolato alla riservatezza può svolgere una verifica, una volta all'anno e in orario di lavoro, senza accedere ai dati di altri clienti. I costi della verifica sono del Titolare, salvo che emergano violazioni sostanziali.

13. Responsabilità e legge applicabile

Per la responsabilità tra le parti valgono l'articolo 82 del GDPR e, nei limiti in cui la legge lo consente, l'articolo 16 delle condizioni d'uso. Questo accordo è regolato dalla legge italiana; per le controversie è competente il Foro di Roma. In caso di contrasto tra questo accordo e le condizioni d'uso, sul trattamento dei dati personali prevale questo accordo.

Questo accordo è redatto in italiano; le versioni in altre lingue sono traduzioni di cortesia e in caso di divergenza prevale il testo italiano.