Accordo sul Trattamento dei Dati, in parole chiare.

01Ruoli e ambito

Questo Accordo sul Trattamento dei Dati («Accordo» o «DPA») è parte del contratto tra te («Titolare») e Purple SaaS, LLC (DBA SureForm), 30 N Gould St Ste R, Sheridan, WY 82801, USA («Responsabile», «noi») per il tuo utilizzo del generatore di moduli e dei moduli ospitati di SureForm (il «Servizio»).

Si applica quando trattiamo dati personali per tuo conto ai sensi del Regolamento generale sulla protezione dei dati (GDPR), del GDPR del Regno Unito, della LPD svizzera o di normative equivalenti. Esistono due rapporti distinti, ed è importante sapere quale stai leggendo:

• Dati di risposta: tu sei il titolare, noi il responsabile. Le risposte che le persone inviano tramite i tuoi moduli. Sei tu a decidere cosa viene raccolto e perché; noi li trattiamo solo per erogare il Servizio. Questo Accordo disciplina tali dati.
• Dati dell'account: il titolare siamo noi. Il tuo nome, indirizzo email, dati di fatturazione e utilizzo del prodotto. Quel trattamento è disciplinato dalla nostra Informativa sulla privacy, non da questo Accordo.

Non serve alcuna firma: questo Accordo produce effetti nel momento in cui accetti i Termini di Servizio e resta in vigore finché trattiamo dati di risposta per tuo conto.

02Le tue istruzioni

Trattiamo i dati di risposta esclusivamente sulla base delle tue istruzioni documentate. Le tue istruzioni sono: questo Accordo, i Termini di Servizio e le scelte che compi nel prodotto — i campi che aggiungi a un modulo, le integrazioni che attivi, la conservazione che configuri, le persone che inviti nel tuo spazio di lavoro.

Non vendiamo i dati di risposta, non li usiamo per addestrare modelli, non li usiamo per la pubblicità e non li usiamo affatto per finalità nostre. Se dovessimo ritenere che una tua istruzione violi la normativa applicabile in materia di protezione dei dati, te lo comunicheremo tempestivamente e potremo sospendere quel trattamento anziché eseguirlo.

Sei responsabile di disporre di una base giuridica per raccogliere ciò che i tuoi moduli raccolgono, delle informative e del consenso che presenti a chi risponde, e di non inserire in un modulo categorie di dati che i tuoi obblighi di conformità non consentono.

03Riservatezza e personale

Chiunque possa accedere ai dati di risposta è vincolato da obblighi scritti di riservatezza che sopravvivono alla fine del rapporto. L'accesso è concesso secondo i principi del privilegio minimo e della stretta necessità, è associato a una persona nominativamente individuata ed è revocato quando non è più necessario.

Non leggiamo le risposte ai tuoi moduli. L'accesso del personale ai dati di produzione avviene solo dove strettamente necessario — ad esempio per risolvere una richiesta di assistenza che hai aperto o per indagare su un incidente — ed è registrato.

04Misure di sicurezza

Adottiamo e manteniamo misure tecniche e organizzative adeguate ai sensi dell'articolo 32 del GDPR, tenuto conto dello stato dell'arte, dei costi di attuazione e del rischio per gli interessati. Le misure in vigore sono descritte nell'Allegato B.

Possiamo aggiornare tali misure con l'evolversi della tecnologia, purché non riduciamo in modo sostanziale il livello complessivo di protezione.

05Sub-responsabili

Ci concedi un'autorizzazione generale scritta a ricorrere a sub-responsabili per l'erogazione del Servizio. I nostri sub-responsabili attuali sono pubblicati su sureform.io/it/subprocessors.

• Ogni sub-responsabile è vincolato da un contratto scritto che impone obblighi di protezione dei dati non meno stringenti di quelli del presente Accordo.
• Restiamo pienamente responsabili nei tuoi confronti dell'adempimento degli obblighi di ciascun sub-responsabile.
• Diamo un preavviso di almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile. Iscriviti alle notifiche nella pagina dei sub-responsabili per riceverle.
• Se ti opponi in modo ragionevole per motivi di protezione dei dati entro tali 30 giorni, scrivici a [email protected]. Cercheremo con te un'alternativa ragionevole; se non esiste, potrai risolvere la parte di Servizio interessata e ricevere il rimborso proporzionale dei corrispettivi pagati e non utilizzati.

06Richieste degli interessati

Il Servizio ti mette a disposizione strumenti in autonomia per cercare, esportare, correggere e cancellare singole risposte, il che risolverà la maggior parte delle richieste senza coinvolgerci.

Se una persona che ha risposto ci contatta direttamente in merito ai dati dei tuoi moduli, non risponderemo per tuo conto: la indirizzeremo a te e te lo comunicheremo tempestivamente. Quando non puoi evadere una richiesta con gli strumenti integrati, ti forniremo assistenza ragionevole, tenendo conto della natura del trattamento e delle informazioni di cui disponiamo.

07Notifica delle violazioni

Se veniamo a conoscenza di una violazione dei dati personali che riguarda dati di risposta trattati per tuo conto, te lo notificheremo senza ingiustificato ritardo e comunque entro 72 ore dalla conferma, al contatto amministrativo del tuo account.

La notifica descriverà, per quanto a noi noto in quel momento: la natura della violazione, le categorie e il numero approssimativo di record interessati, le conseguenze probabili e le misure adottate o proposte. Ti terremo aggiornato con il progredire dell'indagine e ti assisteremo nei tuoi obblighi di notifica verso le autorità di controllo e gli interessati. Non ritarderemo la comunicazione per il fatto che la nostra indagine sia incompleta.

08Trasferimenti internazionali

Siamo stabiliti negli Stati Uniti, quindi trattare dati di risposta per tuo conto comporta generalmente un trasferimento al di fuori dello SEE, del Regno Unito e della Svizzera.

• Per i trasferimenti dallo SEE ci basiamo sulle Clausole Contrattuali Tipo della Commissione europea (Decisione 2021/914), Modulo Due (da titolare a responsabile), che sono incorporate nel presente Accordo mediante rinvio e producono effetti automaticamente ove applicabili.
• Per il Regno Unito si applica l'UK International Data Transfer Addendum a tali clausole.
• Per la Svizzera, le clausole si applicano con gli adattamenti richiesti dalla LPD, con l'Incaricato federale svizzero della protezione dei dati e della trasparenza quale autorità di controllo.

Ove le clausole richiedano una scelta, il docking è consentito, la legge applicabile e il foro seguono le impostazioni predefinite delle clausole per la giurisdizione esportatrice, e gli Allegati I e II delle clausole sono compilati dall'Allegato A e dall'Allegato B del presente Accordo. Svolgiamo valutazioni d'impatto sui trasferimenti ove necessario e ti informeremo se dovessimo trovarci nell'impossibilità giuridica di rispettare questi impegni.

09Audit e assistenza

Su richiesta, metteremo a disposizione le informazioni ragionevolmente necessarie a dimostrare la nostra conformità all'articolo 28 del GDPR — normalmente fornendo la nostra documentazione di sicurezza aggiornata e rispondendo a un questionario di sicurezza.

Se ciò risultasse davvero insufficiente per la tua autorità di controllo o per i tuoi obblighi di conformità, potrai sottoporci ad audit (o incaricare un revisore indipendente che non sia un nostro concorrente e che sottoscriva un accordo di riservatezza) non più di una volta ogni 12 mesi, con preavviso scritto di almeno 30 giorni, in orario lavorativo e senza perturbare irragionevolmente il Servizio. I costi dell'audit sono a tuo carico, salvo che esso riveli una violazione sostanziale del presente Accordo. Ti assisteremo inoltre nelle valutazioni d'impatto sulla protezione dei dati e nelle consultazioni preventive ai sensi degli articoli 35 e 36 ove il tuo utilizzo del Servizio le renda necessarie.

10Restituzione e cancellazione

Puoi esportare i dati di risposta in qualsiasi momento mentre il tuo account è attivo. Alla chiusura dell'account hai 30 giorni per esportarli prima che li cancelliamo dai sistemi attivi; i backup cifrati scadono secondo il loro ciclo documentato e i dati in essi contenuti restano soggetti al presente Accordo fino ad allora.

Cancelleremo prima su tua richiesta scritta, salvo che la legge applicabile ci imponga di conservare qualcosa — nel qual caso ti diremo che cosa e perché, e continueremo a trattarlo solo per quella finalità.

11Responsabilità e prevalenza

La responsabilità di ciascuna parte ai sensi del presente Accordo è soggetta alle limitazioni ed esclusioni previste dai Termini di Servizio, salvo ove la normativa applicabile in materia di protezione dei dati non lo consenta.

Se il presente Accordo confligge con i Termini di Servizio su una questione di trattamento dei dati, prevale il presente Accordo. Se il presente Accordo confligge con le Clausole Contrattuali Tipo, prevalgono le Clausole.

12Allegato A — Dettagli del trattamento

Il presente Allegato compila l'Allegato I delle Clausole Contrattuali Tipo.

• Esportatore: tu, il cliente, in qualità di titolare dei dati di risposta.
• Importatore: Purple SaaS, LLC (DBA SureForm), in qualità di responsabile.
• Oggetto: erogazione del generatore di moduli e dei moduli ospitati di SureForm.
• Durata: il periodo del tuo abbonamento, più la finestra di cancellazione di cui alla sezione 10.
• Natura e finalità: raccogliere, conservare, organizzare, trasmettere, visualizzare e cancellare le risposte ai moduli affinché tu possa creare moduli, ricevere invii e analizzare i risultati.
• Categorie di interessati: le persone che inviano i tuoi moduli — determinate interamente da te. Tipicamente clienti, dipendenti, candidati, partecipanti a eventi, partecipanti a sondaggi o visitatori di siti web.
• Categorie di dati personali: determinate interamente da te attraverso i campi che crei. Comunemente nome, indirizzo email, numero di telefono, indirizzo postale, risposte in testo libero, file caricati e metadati tecnici quali indirizzo IP, marca temporale e user agent acquisiti con un invio.
• Categorie particolari di dati: non richieste da noi e non necessarie al Servizio. Puoi configurare moduli che le raccolgono (ad esempio dati sanitari), nel qual caso sei responsabile delle garanzie aggiuntive e della base giuridica richieste dall'articolo 9.
• Frequenza: continuativa, finché i tuoi moduli sono attivi.
• Autorità di controllo competente: quella del tuo stabilimento nello SEE, o dello Stato membro in cui è stabilito il tuo rappresentante.

13Allegato B — Misure di sicurezza

Il presente Allegato compila l'Allegato II delle Clausole Contrattuali Tipo.

• Cifratura in transito: TLS 1.2 o superiore su ogni connessione, HSTS applicato, solo suite crittografiche moderne.
• Cifratura a riposo: dati di risposta e backup cifrati a riposo con AES-256 o equivalente.
• Controllo degli accessi: accesso basato sui ruoli e sul privilegio minimo; account individuali nominativi; autenticazione a più fattori obbligatoria per l'accesso amministrativo; accessi rivisti e revocati tempestivamente al cambio di ruolo o alla cessazione.
• Isolamento tra clienti: separazione logica dei dati di ciascuno spazio di lavoro, applicata a livello applicativo su ogni richiesta.
• Sicurezza di rete: infrastruttura protetta da firewall, nessun accesso pubblico diretto ai database, header HTTP di sicurezza rafforzati e una rigorosa content security policy sulle nostre proprietà web.
• Sicurezza applicativa: protezione CSRF, validazione degli input e codifica degli output, monitoraggio delle dipendenze e revisione di sicurezza delle modifiche prima del rilascio.
• Log e monitoraggio: eventi amministrativi e di autenticazione registrati, conservati e monitorati per individuare anomalie.
• Backup e resilienza: backup automatici cifrati con test periodici di ripristino e obiettivi di recupero documentati.
• Gestione delle vulnerabilità: canale di segnalazione a [email protected], rimedio prioritizzato e patching tempestivo di dipendenze e infrastruttura.
• Personale: obblighi scritti di riservatezza e requisiti di consapevolezza sulla sicurezza per chiunque abbia accesso alla produzione.
• Garanzie sui sub-responsabili: due diligence prima dell'incarico e trasferimento contrattuale di questi obblighi.
• Cancellazione: procedure di cancellazione documentate alla chiusura dell'account e su richiesta, come descritto nella sezione 10.

14Contatti e sottoscrizione

Questo Accordo è già in vigore: non devi firmarlo. Se il tuo processo di acquisto o di conformità richiede una copia controfirmata su carta, scrivi a [email protected] indicando la denominazione della tua entità legale e la sede legale e te la restituiremo firmata.

Domande sulla privacy: [email protected]. Segnalazioni di sicurezza: [email protected]. Comunicazioni legali: Purple SaaS, LLC (DBA SureForm), Attn: Legal, 30 N Gould St Ste R, Sheridan, WY 82801, USA.