Note legali
Accordo sul trattamento dei dati
Ultimo aggiornamento: 1 novembre 2026
Questa traduzione è fornita per Sua comodità. La versione inglese è quella giuridicamente vincolante e prevale in caso di differenze. Legga la versione inglese.
Il presente Accordo sul trattamento dei dati («DPA») costituisce parte integrante dei Termini di servizio tra il Cliente e Astrizon Technology Solutions Private Limited, una società registrata in India («Responsabile»). Si applica ogni volta che il Responsabile tratta dati personali per conto del Cliente tramite Zolensa. Se il Cliente agisce come responsabile del trattamento per un proprio cliente, il Responsabile è suo subresponsabile e le condizioni si applicano di conseguenza.
1. Definizioni
«Normativa sulla protezione dei dati» indica le leggi applicabili al trattamento, tra cui il Regolamento generale sulla protezione dei dati dell’UE (GDPR), il GDPR del Regno Unito e il Data Protection Act 2018, la Legge federale svizzera sulla protezione dei dati, il Digital Personal Data Protection Act 2023 dell’India e le leggi dei singoli Stati degli USA, come il California Consumer Privacy Act. «Dati personali», «Titolare del trattamento», «Responsabile del trattamento», «Interessato», «Violazione dei dati personali» e «Trattamento» hanno il significato indicato nel GDPR. «Dati personali del Cliente» indica i Dati personali trattati dal Responsabile per il Cliente tramite il Servizio.
2. Ruoli e istruzioni
Il Cliente è il Titolare del trattamento (o un Responsabile del trattamento che agisce per un proprio cliente) e il Responsabile tratta i Dati personali del Cliente solo su istruzione documentata del Cliente. I Termini, il presente DPA e l’uso e le impostazioni del Servizio da parte del Cliente costituiscono tali istruzioni. Il Responsabile informa il Cliente se ritiene che un’istruzione violi la Normativa sulla protezione dei dati. I dettagli del trattamento sono riportati nell’Allegato I.
3. Riservatezza
Il Responsabile si assicura che tutte le persone autorizzate a trattare i Dati personali del Cliente siano vincolate alla riservatezza e abbiano solo l’accesso necessario al loro ruolo.
4. Sicurezza
Il Responsabile attua le misure tecniche e organizzative indicate nell’Allegato II, adeguate al rischio, e può aggiornarle purché il livello complessivo di protezione non diminuisca.
5. Subresponsabili del trattamento
Il Cliente concede un’autorizzazione generale per i subresponsabili elencati nella pagina Subresponsabili del trattamento. Il Responsabile comunica con almeno 30 giorni di preavviso l’arrivo di un nuovo subresponsabile, aggiornando tale pagina e scrivendo via email ai proprietari dello spazio di lavoro. Entro tale termine il Cliente può opporsi per ragionevoli motivi di protezione dei dati; se le parti non riescono a concordare una soluzione, il Cliente può recedere dal servizio interessato e ottenere il rimborso delle tariffe prepagate per il periodo restante. Il Responsabile impone a ogni subresponsabile obblighi di protezione dei dati non meno tutelanti di quelli del presente DPA e ne resta responsabile.
6. Trasferimenti internazionali
Il Responsabile ospita il Servizio in India e alcuni subresponsabili si trovano in altri paesi. Per i trasferimenti di Dati personali dallo Spazio economico europeo, le parti accettano le Clausole contrattuali standard adottate con la Decisione di esecuzione (UE) 2021/914 della Commissione, Modulo Due (da titolare a responsabile) e, se il Cliente è un responsabile, Modulo Tre (da responsabile a responsabile), che sono incorporate per riferimento con le seguenti scelte: la Clausola 7 non si applica; ai sensi della Clausola 9 si applica l’opzione 2 (autorizzazione generale) con preavviso di 30 giorni; la formulazione facoltativa della Clausola 11 non si applica; la Clausola 13 segue lo stabilimento del Cliente; ai sensi delle Clausole 17 e 18 si applicano la legge e i tribunali dell’Irlanda; gli Allegati I e II del presente DPA completano gli Allegati delle Clausole. Per i trasferimenti dal Regno Unito si applica l’Addendum sul trasferimento internazionale dei dati emesso dall’Information Commissioner, e per la Svizzera le Clausole si applicano con i riferimenti intesi come riferimenti alla legge svizzera. In caso di conflitto tra tali Clausole e il presente DPA, prevalgono le Clausole.
7. Assistenza al Cliente
Tenuto conto della natura del trattamento, il Responsabile assiste il Cliente, principalmente tramite le funzioni del Servizio, nel rispondere alle richieste degli Interessati e nella sicurezza, nelle notifiche di violazione, nelle valutazioni d’impatto sulla protezione dei dati e nelle consultazioni con le autorità. Se un Interessato contatta direttamente il Responsabile, questi inoltra la richiesta al Cliente senza rispondere, salvo che la legge disponga diversamente.
8. Violazioni dei dati personali
Il Responsabile informa il Cliente senza ingiustificato ritardo, e in ogni caso entro 48 ore da quando è venuto a conoscenza di una Violazione dei dati personali che riguarda i Dati personali del Cliente, fornendo le informazioni di cui il Cliente ha bisogno per adempiere ai propri obblighi, e lo tiene aggiornato man mano che emergono nuovi elementi. Il Responsabile adotta misure ragionevoli per contenere la violazione e ridurne gli effetti.
9. Cancellazione e restituzione
Il Cliente può esportare ed eliminare i Dati personali del Cliente in qualsiasi momento tramite il Servizio e stabilisce il periodo di conservazione di ogni studio. Alla cessazione dell’accordo il Responsabile elimina tutti i Dati personali del Cliente, compresi i file archiviati, entro 30 giorni dalla fine del periodo di esportazione previsto dai Termini, salvo che la legge gli imponga di conservarne una parte; in tal caso li mantiene riservati e li tratta solo per tale scopo.
10. Audit
Il Responsabile mette a disposizione le informazioni ragionevolmente necessarie per dimostrare la conformità al presente DPA. Il Cliente può effettuare un audit, o farlo effettuare da un revisore indipendente vincolato alla riservatezza, una volta all’anno con 30 giorni di preavviso, durante l’orario di lavoro e senza interrompere il Servizio né compromettere i dati degli altri clienti, a proprie spese; o con maggiore frequenza se lo richiedono una Violazione dei dati personali o un’autorità.
11. Leggi statali degli USA sulla privacy
Dove si applicano il California Consumer Privacy Act o leggi analoghe, il Responsabile è un fornitore di servizi e non venderà né condividerà i Dati personali del Cliente, né li conserverà, utilizzerà o comunicherà al di fuori del rapporto commerciale diretto o per scopi diversi dal Servizio, né li combinerà con altre informazioni personali, salvo quanto consentito da tali leggi. Il Responsabile informerà il Cliente se non è più in grado di adempiere a questi obblighi.
12. Responsabilità e ordine di prevalenza
La responsabilità di ciascuna parte ai sensi del presente DPA è soggetta ai limiti previsti dai Termini, salvo i casi in cui la Normativa sulla protezione dei dati non li consente. In caso di conflitto tra il presente DPA e i Termini in materia di protezione dei dati, prevale il presente DPA.
13. Allegato I: Dettagli del trattamento
| Titolare del trattamento | Il Cliente (agenzia), come indicato nel suo spazio di lavoro. Contatto: i proprietari dello spazio di lavoro. |
|---|---|
| Responsabile del trattamento | Astrizon Technology Solutions Private Limited, Bengaluru, India. Contatto: support@astrizon.com. |
| Interessati | I partecipanti alla ricerca invitati dal Cliente; il personale e i clienti del Cliente che usano il Servizio. |
| Categorie di dati | Dati identificativi e di contatto (nome, email, numero di cellulare), lingua e fuso orario, registri del consenso, risposte agli studi, video, foto e registrazioni vocali, messaggi, informazioni sul dispositivo e sulla connessione, registri di accesso e di controllo. |
| Dati sensibili | Non richiesti dal Servizio. Le registrazioni possono rivelare categorie particolari di dati (ad esempio salute, religione o origine etnica) a seconda dello studio del Cliente; il Cliente decide se raccogliere tali dati ed è responsabile della relativa base giuridica. Garanzie: quelle dell’Allegato II. |
| Natura e finalità | Hosting, archiviazione, conversione dei contenuti multimediali per la riproduzione, visualizzazione agli utenti autorizzati, invio di inviti, promemoria e messaggi, traduzione dei testi dello studio, trascrizione e traduzione delle registrazioni, analisi con IA delle risposte quando il Cliente la utilizza, esportazione e cancellazione, al fine di fornire il Servizio al Cliente. |
| Frequenza | Continua, per tutta la durata dell’accordo. |
| Conservazione | Come stabilito dal Cliente per ogni studio e, al più tardi, fino alla cancellazione dopo la cessazione dell’accordo (sezione 9). |
| Subresponsabili | Come elencati nella pagina Subresponsabili del trattamento, per hosting, invio di email e, quando utilizzati, traduzione, trascrizione, analisi con IA, pagamenti e SMS. |
14. Allegato II: Misure tecniche e organizzative
- Cifratura in transito con TLS per tutte le connessioni; registrazioni archiviate in forma privata e rese disponibili tramite link firmati che scadono.
- Password protette con hash Argon2id; autenticazione a due fattori obbligatoria per i proprietari degli spazi di lavoro e per il personale della piattaforma; chiavi dei fornitori e segreti dell’autenticazione a due fattori cifrati a riposo.
- Accesso basato sui ruoli all’interno di ciascuno spazio di lavoro; i clienti vedono i partecipanti solo tramite codice; i dati di contatto sono limitati al team dello studio.
- Separazione dei dati dei clienti nell’applicazione per spazio di lavoro; ogni richiesta viene verificata rispetto allo spazio di lavoro e al ruolo dell’utente.
- Limiti di frequenza su accessi, inviti e caricamenti; protezione contro la falsificazione di richieste tra siti (CSRF); intestazioni di sicurezza.
- Registro di controllo di accessi, inviti, consensi, esportazioni, download e cancellazioni.
- Minimizzazione dei dati: dati di posizione rimossi dalle foto; caricamenti verificati per tipo e dimensione; download che scadono dopo sette giorni.
- Conservazione per studio stabilita dal Cliente; cancellazione di partecipanti, studi e interi spazi di lavoro, compresi i file.
- Rafforzamento dei server, aggiornamenti di sicurezza regolari, firewall e backup custoditi dal fornitore di hosting.
- Personale con accesso vincolato alla riservatezza, con accesso limitato a quanto richiesto dal proprio lavoro.
- Un processo per rilevare, valutare e notificare le Violazioni dei dati personali entro 48 ore.