Accordo sul trattamento dei dati

Accordo sul trattamento dei dati personali ai sensi dell'art. 28 GDPR (Regolamento (UE) 2016/679)  •  Parte delle Condizioni Generali  •  Lingua del contratto: inglese  •  Le traduzioni del presente documento in altre lingue sono fornite per comodità degli utenti. Il testo inglese è la versione autentica e prevale ai fini dell'interpretazione. Qualora tuttavia la traduzione si discosti dal testo inglese, non faremo valere tale discordanza a danno del Cliente.

1. Parti del contratto

LLC "DataPrime", società registrata in Ucraina — è la società che gestisce il servizio Lingverra. «Lingverra» è la denominazione commerciale con cui la società presta il servizio e non costituisce un soggetto giuridico distinto; nel presente documento «Lingverra», «noi» o «ci» indicano LLC "DataPrime".

Il presente Accordo sul trattamento dei dati personali («Accordo sul trattamento») è concluso tra:

Responsabile del trattamento:
LLC "DataPrime"
vul. Yakubenkivska, bud. 1, kab. 6
04107 Kyiv
Ucraina
Numero di registro: 46215708
Posta elettronica: support@lingverra.com (di seguito «Responsabile del trattamento»)

Titolare del trattamento:
Il traduttore giurato o abilitato ovvero l'agenzia di traduzione che accetta le Condizioni Generali e ha registrato un account utente sulla piattaforma Lingverra (di seguito «Cliente» o «Titolare del trattamento»). Il servizio è destinato esclusivamente agli imprenditori (B2B); non è destinato ai consumatori.

Il presente Accordo sul trattamento è parte delle Condizioni Generali e in esse incorporato. Accettando le Condizioni Generali, il Titolare del trattamento accetta anche il presente Accordo sul trattamento. L'Accordo sul trattamento acquista efficacia nel momento in cui il Titolare del trattamento accetta le Condizioni Generali.

2. Ripartizione dei ruoli (titolare del trattamento / responsabile del trattamento)

Rispetto ai dati personali contenuti nei documenti caricati dal Cliente (clienti del Cliente, persone indicate negli atti, terzi), il Cliente è titolare del trattamento ai sensi dell'art. 4(7) GDPR, mentre Lingverra è responsabile del trattamento ai sensi dell'art. 4(8) GDPR. Il Cliente determina le finalità e i mezzi del trattamento di tali dati; Lingverra li tratta esclusivamente per prestare il servizio di traduzione per conto di lui.

2.1 Istruzione documentata mediante il caricamento del documento

L'uso della piattaforma è volontario e sempre avviato dal Cliente. Prima che un qualsiasi documento sia trattato, il Cliente deve registrarsi, accettare le Condizioni Generali insieme al presente Accordo sul trattamento e prestare il consenso sulla piattaforma; soltanto allora la parte operativa del servizio diviene accessibile. Ogni caricamento di un documento per la traduzione costituisce un'istruzione distinta, consapevole e documentata del Titolare del trattamento al Responsabile del trattamento ai sensi dell'art. 28(3)(a) GDPR, impartita con previa conoscenza dei mezzi tecnici descritti nella sezione 2.2 e nell' elenco dei sub-responsabili del trattamento. Il Responsabile del trattamento non tratta alcun contenuto dei documenti fino a quando e salvo che il Titolare del trattamento non impartisca tale istruzione caricando un documento.

2.2 Il Responsabile del trattamento determina soltanto i mezzi tecnici di attuazione

Il Titolare del trattamento determina la finalità del trattamento (se, per quale ragione e quale documento in concreto sia tradotto) e conserva il controllo sul contenuto e sui relativi interessati. Il Responsabile del trattamento determina soltanto i mezzi non essenziali, tecnici di esecuzione di tale istruzione, e segnatamente: il modello di traduzione mediante IA utilizzato («Claude») nonché il canale e la regione nell'UE attraverso i quali esso è raggiunto (si veda l'elenco dei sub-responsabili del trattamento), il periodo di conservazione dopo il quale il contenuto è automaticamente cancellato, lo schema di cifratura (una chiave distinta per ciascun documento) e l'infrastruttura di hosting. Conformemente alla consolidata distinzione tra mezzi essenziali e non essenziali (si vedano le Linee guida EDPB 07/2020 sulle nozioni di titolare del trattamento e di responsabile del trattamento), la determinazione di tali mezzi tecnici da parte del responsabile del trattamento non trasforma il responsabile del trattamento in titolare del trattamento.

Il servizio è prestato mediante un'unica configurazione tecnica standardizzata; il Responsabile del trattamento non offre, e il Cliente non sceglie, mezzi alternativi (modello, regione, periodo di conservazione o cifratura). Accettando il presente Accordo sul trattamento e caricando un documento, il Titolare del trattamento incarica il Responsabile del trattamento di eseguire il trattamento avvalendosi proprio di tali mezzi tecnici. L'assenza di scelta tra singoli mezzi riflette la natura standardizzata e strumentale del servizio e non attribuisce al Responsabile del trattamento alcun potere decisionale sulle finalità del trattamento. La decisione se avvalersi o no dei mezzi tecnici offerti dal Responsabile del trattamento appartiene interamente al Titolare del trattamento: il Titolare del trattamento decide liberamente se applicare l'insieme dei mezzi del Responsabile del trattamento al trattamento di un determinato documento e può in qualsiasi momento astenersi dall'uso del servizio. I mezzi sono così messi a disposizione del Titolare del trattamento, ed è la libera decisione propria del Titolare del trattamento di applicarli al trattamento; è proprio tale libera scelta del Titolare del trattamento, e non una qualsiasi determinazione unilaterale del Responsabile del trattamento, che decide se il trattamento avrà luogo.

2.3 Assenza di uso proprio del contenuto

Il Responsabile del trattamento tratta il contenuto dei documenti esclusivamente per eseguire la traduzione incaricata dal Titolare del trattamento. Il Responsabile del trattamento non utilizza il contenuto dei documenti per finalità proprie di alcun genere, non lo analizza né lo profila, non lo comunica a terzi, salvo ai sub-responsabili del trattamento necessari alla prestazione del servizio (sezione 6), e tale contenuto non è utilizzato per addestrare, riaddestrare o perfezionare alcun modello di intelligenza artificiale. Il Responsabile del trattamento non trae dal contenuto alcun vantaggio autonomo oltre la prestazione del servizio previsto dal contratto.

Il Cliente esercita la propria attività professionale sotto la propria responsabilità e decide da sé se caricare il documento di un cliente sulla piattaforma per la traduzione e su quale base giuridica farlo. Lingverra non verifica e non risponde del fatto che il Cliente sia legittimato a trasmettere i dati in questione; tale responsabilità grava esclusivamente sul Cliente in qualità di titolare del trattamento (si veda la sezione 13).

Lingverra agisce come responsabile del trattamento soltanto fino a quando conserva il contenuto in questione. Dopo che il contenuto è stato cancellato conformemente alla sezione 11 (in via predefinita 72 ore dopo la consegna), o prima, se il Titolare lo cancella nel proprio account, Lingverra non tratta più tale contenuto e cessa di agire come responsabile del trattamento rispetto ad esso.

3. Oggetto e finalità del trattamento

Lingverra gestisce una piattaforma cloud Software-as-a-Service per la traduzione assistita dall'IA di documenti ufficiali e di altro genere per traduttori giurati o abilitati. Il Responsabile del trattamento tratta i dati personali per conto del Titolare del trattamento esclusivamente nella misura necessaria alla prestazione di tale servizio.

Preventivi. Lo stesso vale nei casi in cui il Titolare del trattamento carichi un documento per stimarne il volume e formulare un'offerta con i prezzi sulla carta intestata propria del Titolare del trattamento. Una differenza è essenziale e viene qui annotata per evitare dubbi: nessun modello di intelligenza artificiale è impiegato in tale funzione e nessun dato è trasmesso al fornitore del modello. Il testo è letto dal documento da un software di riconoscimento del testo che opera sull'infrastruttura propria del Responsabile del trattamento all'interno dell'UE/SEE. Il file caricato è cancellato appena il preventivo è formato; il PDF generato è cifrato durante la conservazione ed è cancellato dopo 72 ore (sezione 11).

Fatture al cliente del titolare. Lo stesso vale quando il titolare genera una fattura da un preventivo salvato. Il nome e l’indirizzo del cliente del titolare, inseriti dal titolare a tale scopo, sono trattati dal responsabile del trattamento unicamente per riportarli sulla fattura; l’indirizzo è conservato cifrato. La fattura è emessa sulla carta intestata del titolare e a suo nome: il responsabile del trattamento non ne è né emittente né parte, non assegna numeri di fattura e non trasmette la fattura al destinatario. Il PDF generato e l’indirizzo del cliente sono cancellati dopo 72 ore; prima di allora il titolare può cancellare il preventivo o la fattura in qualsiasi momento nel proprio account; la conservazione della fattura per i termini di legge applicabili al titolare spetta al titolare stesso.

Al di fuori del presente Accordo: le richieste dei potenziali clienti. Il Responsabile del trattamento gestisce separatamente, sul proprio sito web pubblico, un modulo attraverso il quale la persona che cerca una traduzione asseverata può chiedere di essere messa in contatto con un traduttore. Rispetto a tali dati di contatto il Responsabile del trattamento agisce come titolare autonomo del trattamento sulla base del consenso di tale persona, e non come responsabile del trattamento del Titolare del trattamento, e il presente Accordo non si applica ad essi. Qualora il Titolare del trattamento accetti una simile richiesta, il Titolare del trattamento diviene a sua volta titolare autonomo del trattamento dei dati di contatto ricevuti e determina da sé cosa farne; il Responsabile del trattamento non impartisce alcuna istruzione a tale riguardo e non riceve alcuna quota dell'incarico che ne consegua. Tale trattamento è descritto nell' Informativa sulla privacy, sezione 3.5.

Il Responsabile del trattamento tratta i dati personali esclusivamente sulla base di istruzioni documentate del Titolare del trattamento, salvo che il trattamento sia richiesto dal diritto dell'Unione o dello Stato membro. In tal caso il Responsabile del trattamento informa il Titolare del trattamento di tali obblighi giuridici prima del trattamento, salvo che tale diritto vieti siffatta informazione per rilevanti motivi di interesse pubblico (art. 28(3)(a) GDPR).

4. Natura, ambito e categorie di dati

4.1 Natura e finalità del trattamento

Il Responsabile del trattamento tratta i dati personali per conto del Titolare del trattamento per le seguenti finalità:

• conservazione e gestione dei documenti e dei file caricati dal Titolare del trattamento;
• traduzione assistita dall'IA del contenuto del documento. Per la prestazione del servizio di traduzione il contenuto del documento è trattato dal modello linguistico «Claude» tramite un canale nell'UE indicato nell'elenco dei sub-responsabili del trattamento; il fornitore di tale canale agisce come sub-responsabile del trattamento ai sensi della sezione 6. Il trattamento resta all'interno del SEE qualunque sia il canale indicato che esegue la richiesta. Tale trattamento costituisce parte integrante e necessaria del servizio; senza di esso la traduzione non può essere prestata. Caricando un documento per la traduzione, il Titolare del trattamento impartisce un'istruzione documentata (art. 28(3)(a) GDPR) che comprende tale sub-trattamento. Il contenuto del documento resta all'interno del SEE, è trattato soltanto temporaneamente ai fini della traduzione e non è utilizzato per l'addestramento di alcun modello;
• messa a disposizione del documento tradotto e dell'editor di confronto/post-editing a due colonne per la verifica da parte del Titolare del trattamento;
• conservazione temporanea del documento di origine e della traduzione per il periodo di conservazione (si veda la sezione 11), affinché il Titolare del trattamento possa riaprire il risultato;
• tenuta dei registri (log di audit) degli eventi rilevanti per la sicurezza nell'account del Titolare del trattamento;
• stima del volume del documento e formazione di un preventivo con i prezzi sulla carta intestata del Titolare del trattamento. Il testo è letto dal documento da un software di riconoscimento del testo sull'infrastruttura propria del Responsabile del trattamento all'interno dell'UE/SEE; nessun modello di IA e nessun fornitore di modelli sono impiegati, a differenza della funzione di traduzione di cui sopra;
• emissione di una fattura da un preventivo salvato, sulla carta intestata del titolare e a suo nome, utilizzando il nome e l’indirizzo del cliente del titolare inseriti da quest’ultimo a tale scopo; il responsabile del trattamento riporta tali dati sulla fattura e non ne fa altro uso.

4.2 Categorie di dati personali

I dati contenuti nei documenti caricati sono determinati dal Titolare del trattamento e possono per loro natura comprendere categorie particolari di dati personali ai sensi dell'art. 9 GDPR (per esempio dati relativi alla salute nei certificati medici, dati che rivelano convinzioni religiose o filosofiche, dati biometrici nei documenti d'identità), nonché dati personali relativi a condanne penali e reati ai sensi dell'art. 10 GDPR (per esempio certificati del casellario giudiziale / certificati di polizia). Lingverra non ha conoscenza del contenuto concreto dei documenti e non compie alcuna valutazione del loro contenuto.

Categoria	Elementi di dati
Dati del documento (contenuto)	File caricati (PDF, immagini), testo estratto e tradotto dall'IA, metadati del documento. Possono contenere categorie particolari di dati (art. 9 GDPR): dati relativi alla salute, dati religiosi/filosofici, dati biometrici tratti da documenti d'identità; nonché dati relativi a condanne penali e reati (art. 10 GDPR): per esempio certificati del casellario giudiziale.
Dati identificativi degli interessati	Nomi, date di nascita, indirizzi, numeri di atto e di pratica, firme indicati nei documenti
Dati dell'account e del profilo del Cliente	Indirizzo di posta elettronica, nome, dati professionali (nomina, lingue, annotazione di certificazione)
Dati tecnici	Indirizzi IP, user agent, identificativi di sessione, voci del log di audit
Dati di fatturazione	Numero di cartelle standard tradotte, saldo, storico dei pagamenti

Nota: i dati dell'account, del profilo, i dati tecnici e di fatturazione del Cliente stesso sono trattati da Lingverra in qualità di titolare autonomo del trattamento (esecuzione del contratto, art. 6(1)(b) GDPR); a tale riguardo si applica l'Informativa sulla privacy. Oggetto del presente Accordo sul trattamento sono i dati di terzi contenuti nei documenti, rispetto ai quali titolare del trattamento è il Cliente.

4.3 Categorie di interessati

• clienti del Cliente (persone fisiche);
• terzi indicati nei documenti (per esempio persone elencate negli atti, firmatari, persone che hanno rilasciato il documento);
• il Cliente stesso, in quanto i suoi documenti contengono dati personali.

4.4 Durata del trattamento

Il trattamento ha luogo per la durata del rapporto contrattuale. Inoltre, il contenuto del documento di origine e della traduzione è automaticamente cancellato dopo la scadenza del periodo di conservazione (si veda la sezione 11). Dopo la cessazione dell'Accordo i dati personali sono cancellati o anonimizzati conformemente alla sezione 11.

5. Obblighi del Responsabile del trattamento

Il Responsabile del trattamento si obbliga a:

• trattare i dati personali soltanto sulla base di istruzioni documentate del Titolare del trattamento;
• garantire che le persone autorizzate a trattare i dati siano vincolate alla riservatezza ovvero soggette a un adeguato obbligo legale di riservatezza (art. 28(3)(b) GDPR);
• adottare misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR (si veda la sezione 7);
• rispettare le condizioni per il ricorso ai sub-responsabili del trattamento ai sensi della sezione 6;
• assistere il Titolare del trattamento con misure tecniche e organizzative adeguate nell'adempimento dei suoi obblighi di cui all'art. 32–36 GDPR;
• a scelta del Titolare del trattamento, cancellare o restituire tutti i dati personali al termine del trattamento (si veda la sezione 11);
• mettere a disposizione del Titolare del trattamento tutte le informazioni necessarie per dimostrare il rispetto dell'art. 28 GDPR;
• informare senza indugio il Titolare del trattamento qualora, a giudizio del Responsabile del trattamento, un'istruzione violi il GDPR o altre disposizioni sulla protezione dei dati.

Richieste delle autorità pubbliche. Qualora un’autorità giudiziaria o altra autorità pubblica di qualsiasi paese, compresa l’Ucraina, richieda la comunicazione dei Dati del Cliente o l’accesso agli stessi, il Responsabile del trattamento (a) non li comunica volontariamente e, ove possibile, indirizza l’autorità al Titolare; (b) informa il Titolare senza ritardo e prima di qualsiasi comunicazione, salvo che il diritto applicabile alla richiesta lo vieti, nel qual caso si adopera per ottenere la revoca del divieto; (c) verifica la legittimità della richiesta e la contesta qualora sussistano ragionevoli motivi per ritenerla illegittima; e (d) comunica soltanto il minimo richiesto. Il Responsabile del trattamento documenta ogni richiesta di questo tipo. Resta fermo l’art. 28(3)(a) GDPR.

6. Sub-responsabili del trattamento

Il Titolare del trattamento conferisce con la presente al Responsabile del trattamento un'autorizzazione scritta generale al ricorso a sub-responsabili del trattamento. Il Responsabile del trattamento informa con almeno 30 giorni di preavviso in forma testuale di qualsiasi aggiunta o sostituzione prevista di un sub-responsabile del trattamento. Il Titolare del trattamento può opporsi entro 30 giorni dal ricevimento dell'informazione. Qualora il Responsabile del trattamento non possa rimuovere il motivo dell'opposizione, il Titolare del trattamento ha diritto di recedere dall'Accordo con un preavviso di 30 giorni senza conseguenze sfavorevoli per sé.

L'elenco vigente dei sub-responsabili del trattamento — compresi il fornitore del canale di traduzione mediante IA e il fornitore di infrastruttura/hosting — è pubblicamente disponibile all'indirizzo /legal/subprocessors.

Nel ricorrere a sub-responsabili del trattamento, il Responsabile del trattamento impone loro contrattualmente obblighi equivalenti in materia di protezione dei dati (art. 28(4) GDPR). Il Responsabile del trattamento risponde verso il Titolare del trattamento dell'adempimento da parte del sub-responsabile del trattamento dei propri obblighi.

7. Misure tecniche e organizzative (MTO)

Il Responsabile del trattamento adotta le seguenti misure tecniche e organizzative ai sensi dell'art. 32 GDPR:

Misura	Attuazione
Cifratura durante la trasmissione	TLS 1.2+ per ogni trasmissione di dati; HTTPS imposto su tutti gli endpoint
Cifratura durante la conservazione	Una chiave AES-256-GCM distinta per ciascun singolo documento e preventivo (e non semplicemente una sola chiave per utente), affinché nessuna singola chiave apra più dell'oggetto al quale appartiene. La stessa chiave copre il file caricato, il testo tradotto conservato nella banca dati e il PDF del preventivo; conservazione cifrata delle sessioni; copie di riserva cifrate
Cancellazione crittografica	Alla scadenza del periodo di conservazione, nonché in caso di cancellazione da parte del Titolare del trattamento, la chiave di quel documento è distrutta nella medesima transazione della cancellazione. Ogni copia del testo cifrato fuori dalla portata dell'applicazione — una copia di riserva di breve durata, uno snapshot dell'hosting, celle di memoria flash ritirate dall'uso dal supporto — diviene con ciò per sempre non decifrabile, sia dal Responsabile del trattamento sia da chiunque altro. Le chiavi dei singoli documenti sono escluse dal dump della banca dati: il dump è conservato più a lungo della copia di riserva dei file, e una chiave che sopravvivesse al documento che essa apre renderebbe tale misura nominale
Gestione delle chiavi	La chiave principale che avvolge le chiavi dei singoli utenti (le quali a loro volta avvolgono la chiave di ciascun documento) è conservata in un servizio di chiavi gestito all'interno dell'UE (AWS KMS), e non sul server applicativo né nella banca dati; ogni decifratura è una chiamata esplicita al servizio di chiavi, registrata nella traccia di audit (CloudTrail). La sola compromissione della banca dati o del disco non rivela il contenuto, e l'accesso al contenuto non può avvenire senza lasciare una voce nel registro
Assenza di accesso ordinario (accesso soltanto in via di eccezione, sempre registrato)	Il Responsabile del trattamento non ha necessità funzionale di leggere il contenuto dei documenti e non lo fa nell'attività ordinaria; la decifratura è tecnicamente circoscritta al servizio di chiavi e organizzativamente non utilizzata (lo sviluppo non si avvale mai di documenti dei clienti). Gli amministratori di sistema non leggono il contenuto; con privilegi completi sul server l’accesso sarebbe tecnicamente possibile, ma la decifratura di un documento richiede una chiamata al servizio di chiavi, che la registra nella propria traccia di audit; uno sviluppatore non può decifrare un documento senza lasciare una voce di audit
Decifratura vincolata alla sessione del titolare dei dati	L'accesso al documento è vincolato nel codice al titolare dei dati (ogni rotta del documento filtra per l'identificativo dell'utente titolare); la chiave dell'utente è sbloccata nell'attività ordinaria soltanto nell'ambito della sessione autenticata del titolare. Ogni sblocco della chiave è registrato insieme al titolare dei dati e a chi ha avviato l'operazione. Qualsiasi sblocco avviato da soggetto diverso dal titolare (per esempio dal personale) è contrassegnato come eccezione e genera un allarme interno; il solo accesso atteso da parte di soggetto non titolare è l'esportazione dei dati su richiesta dell'interessato stesso, registrata con l'indicazione del motivo. Ciò rende dimostrabile che nel corso ordinario la chiave è richiesta dall'interessato e non dal personale
Pseudonimizzazione / anonimizzazione	I dati personali sono anonimizzati alla cancellazione dell'account; il contenuto dei documenti è automaticamente cancellato alla scadenza del periodo di conservazione (nello storico resta una voce datata, senza il documento e senza alcun suo testo)
Controllo degli accessi	Modello di accesso basato sui ruoli (traduttore / amministratore / contabile); rigorosa separazione dei tenant a livello di utente; principio del minimo privilegio
Autenticazione	Hashing delle password; autenticazione a due fattori (TOTP); token dei dispositivi fidati; scadenza delle sessioni
Protezione dal software malevolo	Scansione antivirus dei file caricati; verifica del tipo di file e della firma prima del trattamento
Protezione da CSRF	Token CSRF su tutte le richieste che modificano lo stato
Content Security Policy	Content-Security-Policy rigorosa senza unsafe-inline (script-src e style-src limitati a 'self' più un nonce per ciascuna richiesta); nessuno script né stile incorporato, il che attenua il cross-site scripting (XSS) e le iniezioni sul frontend
Registrazione	Log di audit protetti con metodo WORM (i trigger della banca dati impediscono la modifica o la cancellazione di una voce); separazione dei registri di accesso e dei registri di attività
Copie di riserva e ripristino	Copie di riserva automatiche regolari; conservazione cifrata delle copie; procedura di ripristino documentata
Resilienza	Esercizio su server dedicato con limitazione delle risorse per ciascun servizio; gestione degli errori e monitoraggio a livello applicativo
Gestione delle vulnerabilità	Aggiornamenti di sicurezza regolari del sistema operativo, delle dipendenze e dell'applicazione
Personale e formazione	Tutte le persone con accesso ai dati personali sono vincolate alla riservatezza; i diritti di accesso sono riesaminati regolarmente
Cancellazione sicura	I dati personali sono cancellati mediante anonimizzazione o sovrascrittura sicura; il periodo di conservazione delle copie di riserva è coordinato con la politica di cancellazione
Separazione degli ambienti	Gli ambienti di produzione e di test/sviluppo sono rigorosamente separati; nessun dato personale reale negli ambienti di test
Risposta agli incidenti	Procedure di rilevamento, escalation e notifica delle violazioni dei dati personali; informazione al Titolare del trattamento senza indebito ritardo dopo averne avuto conoscenza (art. 33(2) GDPR)

8. Diritti di audit e di verifica

Il Titolare del trattamento ha diritto di verificare il rispetto del presente Accordo sul trattamento e dell'art. 28 GDPR mediante audit alle seguenti condizioni:

• Frequenza: non più di una volta per anno civile, salvo che sussista un motivo fondato (per esempio una violazione dei dati personali o un'indagine ufficiale);
• Preavviso: almeno 30 giorni in forma testuale, con indicazione dell'ambito e della finalità;
• Costi: a carico del Titolare del trattamento, salvo che l'audit accerti una violazione sostanziale da parte del Responsabile del trattamento;
• Riservatezza: il revisore deve sottoscrivere un accordo di riservatezza prima di ottenere accesso ai sistemi o ai dati;
• Prove: il Responsabile del trattamento può adempiere all'obbligo di audit presentando certificazioni o relazioni di audit in corso di validità (per esempio secondo standard riconosciuti); l'audit in loco resta possibile nella misura in cui dubbi concreti non siano dissipati da tali relazioni.

9. Diritti degli interessati

Il Responsabile del trattamento assiste il Titolare del trattamento con misure tecniche adeguate nel garantire i diritti degli interessati ai sensi del Capo III del GDPR (art. 15–22). Il Titolare del trattamento risponde delle risposte alle richieste degli interessati. Qualora un interessato si rivolga direttamente al Responsabile del trattamento, il Responsabile del trattamento trasmette la richiesta al Titolare del trattamento senza indebito ritardo.

10. Notifica delle violazioni dei dati

Il Responsabile del trattamento informa il Titolare del trattamento di ogni violazione dei dati personali senza indebito ritardo dopo averne avuto conoscenza (art. 33(2) GDPR) e in ogni caso entro 24 ore. Tale termine è consapevolmente più breve del termine di 72 ore proprio del Titolare del trattamento verso l'autorità di controllo (art. 33(1)): quel termine decorre dal momento in cui il Titolare del trattamento ne ha avuto conoscenza, per cui una notifica ricevuta alla 72ª ora non lascerebbe al Titolare del trattamento alcun tempo per agire. Qualora il quadro completo non sia ancora accertato, il Responsabile del trattamento notifica sulla base dei fatti disponibili e li integra man mano che emergono, anziché differire la prima notifica. La notifica contiene, per quanto noto al Responsabile del trattamento:

• la natura della violazione, comprese le categorie e il numero approssimativo di interessati e di voci;
• la denominazione e i dati di contatto del punto di contatto del Responsabile del trattamento per la protezione dei dati;
• le probabili conseguenze della violazione;
• le misure adottate o proposte per porvi rimedio.

La notifica all'autorità di controllo competente e la comunicazione agli interessati ai sensi dell'art. 33 e 34 GDPR gravano sul Titolare del trattamento.

11. Cancellazione e restituzione dei dati

Il contenuto del documento di origine e della traduzione è conservato soltanto temporaneamente ed è automaticamente e definitivamente cancellato alla scadenza del periodo di conservazione (in via predefinita 72 ore dopo la consegna), o prima, se il Titolare lo cancella nel proprio account; resta soltanto una voce datata nello storico attestante che il documento è stato trattato — senza il documento stesso e senza alcun suo testo. Il periodo di conservazione esatto è indicato nell'Informativa sulla privacy. Appena il contenuto è cancellato, il Responsabile del trattamento non lo conserva più, non lo controlla e non vi ha accesso, e il trattamento di tale contenuto da parte del Responsabile del trattamento si conclude; gli obblighi del Responsabile del trattamento derivanti dal presente Accordo sul trattamento rispetto al contenuto cancellato sono con ciò adempiuti (art. 28(3)(g) GDPR).

La cancellazione è crittografica e al contempo fisica: i byte sono sovrascritti là dove l'applicazione ha accesso, e la chiave che appartiene a quel documento è distrutta. L'affermazione di cui sopra — che il Responsabile del trattamento non ha più accesso al contenuto cancellato — non si fonda pertanto sulla completezza della sovrascrittura nelle copie di riserva, negli snapshot e nell'hardware di archiviazione, bensì sull'assenza di qualsiasi chiave con cui tale contenuto possa essere letto.

Preventivi. Il documento caricato ai fini del preventivo è cancellato appena il preventivo è formato — non è conservato per la finestra di 72 ore che si applica alle traduzioni, poiché più avanti nel processo non serve a nulla. Il PDF generato del preventivo è cifrato durante la conservazione ed è cancellato dopo 72 ore, lasciando al Titolare del trattamento la propria registrazione commerciale dell'offerta (numero, destinatario, totali), che non contiene più il documento del cliente. Il Titolare del trattamento può cancellare il preventivo in qualsiasi momento anche prima di tale termine.

Dopo la cessazione dell'Accordo si applica quanto segue:

• Cancellazione (in via predefinita): i dati personali sono anonimizzati o cancellati in modo sicuro. Prima della cessazione il Titolare del trattamento può avvalersi delle funzioni di esportazione autonoma sulla piattaforma per ottenere i propri dati;
• Restituzione (su richiesta): restituzione formale di tutti i dati personali in formato leggibile da dispositivo automatico, su richiesta in forma testuale presentata prima della cessazione.

Il Responsabile del trattamento conserva una registrazione minima della cancellazione (data, evento attivatore, conferma) quale prova della cancellazione conformemente al GDPR ai sensi dell'art. 28(3)(g) GDPR; tale registrazione non contiene dati personali degli interessati del Titolare del trattamento.

12. Trasferimenti verso paesi terzi

Il trattamento del contenuto dei documenti (i dati che il Responsabile del trattamento tratta per conto del Titolare del trattamento, compresa la fase di traduzione assistita dall'IA) avviene su server all'interno dell'UE/SEE e non è trasferito verso alcun paese terzo. Esso è cifrato durante la conservazione con una chiave conservata all'interno dell'UE, di modo che l'amministrazione dell'infrastruttura non riveli di per sé il contenuto. La traduzione mediante IA è eseguita tramite un canale nell'UE indicato su /legal/subprocessors; la richiesta è indirizzata a una rotta del modello all'interno dell'UE/SEE e non è instradata verso gli Stati Uniti. La scelta del canale e della rotta è verificata secondo il principio fail-closed: una regione, un endpoint o una rotta al di fuori dell'UE è rifiutato, non servito.

• Prestatori di pagamento: trasferimento dei soli dati di pagamento (mai del contenuto dei documenti). I pagamenti con carta sono trattati dalla banca acquirente ucraina PUMB (hutko), titolare autonomo del trattamento; sono trasmessi soltanto l'importo e il riferimento d'ordine, sulla base dell'art. 49(1)(b) GDPR.

Il Responsabile del trattamento ha sede in Ucraina — un paese terzo in assenza di una decisione di adeguatezza dell'UE. Ciò non riguarda il contenuto dei documenti, che resta cifrato nell'UE come descritto sopra. I dati dell'account e di fatturazione del Cliente sono accessibili dall'Ucraina al personale proprio del Responsabile del trattamento secondo il principio della necessità di conoscere. Il contenuto dei documenti non è accessibile dall'Ucraina in via ordinaria. L'accesso è possibile solo in via eccezionale e per un motivo documentato (in particolare su richiesta del Cliente stesso, ad es. una richiesta di assistenza relativa a un documento specifico); ogni accesso di questo tipo richiede l'uso della chiave di cifratura custodita nell'UE ed è registrato dal servizio di gestione delle chiavi (AWS CloudTrail). I dati di fatturazione e delle fatture il Responsabile del trattamento li tratta per la contabilità obbligatoria per legge sulla base dell'art. 6(1)(b) e dell'art. 6(1)(f) GDPR (esecuzione del contratto e legittimo interesse ad adempiere agli obblighi contabili previsti per legge). La contabilità obbligatoria per legge del Responsabile del trattamento è tenuta dalla sua direzione oppure da un fornitore esterno di servizi contabili con sede in Ucraina. Qualora si ricorra a tale fornitore, gli sono messe a disposizione registrazioni contabili prive di identificativi diretti — un codice di riferimento non descrittivo in luogo del nome del cliente, senza nome, indirizzo di posta elettronica né indirizzo postale — ed esso non dispone né della banca dati del Responsabile del trattamento né della chiave dalla quale tali codici sono derivati. Esso non riceve pertanto alcun dato personale, non è sub-responsabile del trattamento ai sensi dell'art. 28 GDPR, e da tale accordo non deriva alcun trasferimento di dati personali. L'accesso ai relativi dati di fatturazione nei sistemi del Responsabile del trattamento avviene in sola lettura ed è registrato. Per il resto il Responsabile del trattamento non trasferisce dati personali verso paesi terzi senza assicurare un livello di protezione adeguato ai sensi del Capo V del GDPR.

13. Obblighi del Titolare del trattamento

Il Titolare del trattamento garantisce e si obbliga a quanto segue:

• dispone di una base giuridica valida ai sensi dell'art. 6 GDPR per tutti i dati personali caricati sulla piattaforma;
• nella misura in cui sono trattate categorie particolari di dati personali ai sensi dell'art. 9 GDPR (in particolare dati relativi alla salute, dati religiosi/filosofici, dati biometrici tratti da documenti d'identità), dispone di una base giuridica valida ai sensi dell'art. 9(2) GDPR e ha attuato garanzie adeguate;
• nella misura in cui sono trattati dati personali relativi a condanne penali e reati ai sensi dell'art. 10 GDPR (in particolare certificati del casellario giudiziale / certificati di polizia), tale trattamento avviene sotto il controllo dell'autorità pubblica o è autorizzato dal diritto dell'Unione o dello Stato membro che preveda garanzie adeguate;
• risponde in via esclusiva della liceità delle istruzioni di trattamento impartite al Responsabile del trattamento;
• ha adempiuto ai propri obblighi di informazione verso i propri interessati ai sensi dell'art. 13 e 14 GDPR;
• si avvale della piattaforma soltanto per finalità lecite, conformemente al diritto applicabile in materia di protezione dei dati;
• risponde in via esclusiva della gestione degli accessi nel proprio account;
• informa senza indugio il Responsabile del trattamento dei mutamenti che incidano sul rispetto del presente Accordo sul trattamento.

14. Responsabilità

Ciascuna parte risponde delle violazioni del diritto applicabile in materia di protezione dei dati ad essa imputabili. Qualora il Responsabile del trattamento sia chiamato a rispondere di una violazione fondata su un'istruzione o sulla condotta del Titolare del trattamento, il Titolare del trattamento tiene indenne il Responsabile del trattamento nella misura in cui non vi sia colpa del Responsabile del trattamento.

La responsabilità contrattuale del Responsabile del trattamento derivante dal presente Accordo sul trattamento è soggetta alla limitazione di responsabilità convenuta nelle Condizioni Generali. La responsabilità di legge del Responsabile del trattamento verso gli interessati ai sensi dell'art. 82 GDPR resta ferma. Le sanzioni ai sensi dell'art. 83 GDPR sono sopportate dalla parte alla quale sono irrogate dall'autorità di controllo; esse non possono essere traslate contrattualmente.

15. Diritto applicabile e giurisdizione

Il presente Accordo sul trattamento è regolato dal diritto del paese nel quale è registrato il responsabile del trattamento (Ucraina). Le controversie derivanti dal presente Accordo sul trattamento sono devolute ai giudici di tale paese, salvo che norme inderogabili del luogo di sede del Titolare del trattamento dispongano diversamente. La presente clausola sulla giurisdizione non incide sul diritto degli interessati di adire i giudici indicati nell'art. 79(2) GDPR.

Diritto nazionale del responsabile in materia di protezione dei dati. Oltre al GDPR, alle attività di trattamento svolte dal responsabile in Ucraina si applica la legge ucraina sulla protezione dei dati personali (n. 2297-VI).

16. Contatti

LLC "DataPrime"
vul. Yakubenkivska, bud. 1, kab. 6
04107 Kyiv
Ucraina
Posta elettronica: support@lingverra.com