Accordo sul Trattamento dei Dati

Il presente DPA è stipulato tra il Cliente, che ricorre ai servizi di statycs in forza di un contratto di servizio valido (il «Titolare del trattamento»), e statycs GmbH, FN 613704g, Liechtensteinstraße 59, 1090 Vienna, Austria (il «Responsabile del trattamento»).

Il DPA disciplina il trattamento dei dati personali per conto del Titolare nell'ambito della piattaforma SaaS di statycs. Produce effetti a seguito dell'accettazione dei Termini e Condizioni. In caso di conflitto, prevale il DPA per le questioni di protezione dei dati.

Oggetto del trattamento. Il trattamento dei dati personali necessario affinché statycs possa erogare al Titolare la propria piattaforma di pianificazione e analisi finanziaria.

Durata del trattamento. La durata del contratto di servizio, comprensiva della fase di cessazione e cancellazione di cui all'art. 11.

Il trattamento è finalizzato all'erogazione della piattaforma e comprende: raccolta, archiviazione, organizzazione, strutturazione, estrazione, consultazione, utilizzo e cancellazione.

Il trattamento avviene esclusivamente sulla base delle istruzioni documentate del Titolare, salvo diverso obbligo imposto dal diritto dell'Unione o austriaco; in tal caso statycs informa il Titolare prima del trattamento, salvo divieto di legge.

Categorie di dati personali. Nomi, indirizzi e-mail, numeri di telefono, qualifiche professionali, denominazione aziendale, indirizzi IP, dati di browser e dispositivo, nonché ogni ulteriore dato personale inserito dal Titolare nella piattaforma. I dati finanziari caricati possono contenere dati personali.

Categorie di interessati. Dipendenti, collaboratori, clienti, fornitori, investitori e ulteriori persone fisiche del Titolare i cui dati siano trattati tramite la piattaforma.

Il Titolare è titolare del trattamento ai sensi del GDPR ed è l'unico responsabile di assicurare la liceità del trattamento dei dati personali, inclusa la sussistenza di una valida base giuridica sia per il trattamento stesso sia per il trasferimento dei dati a statycs.

Il Titolare è responsabile dell'esattezza, della qualità e della liceità dei dati personali forniti a statycs, nonché del rispetto di tutta la normativa applicabile in materia di protezione dei dati, incluso l'adempimento degli obblighi informativi nei confronti degli interessati in merito al trattamento dei loro dati.

statycs si impegna a:

• Trattare i dati personali esclusivamente sulla base di istruzioni documentate del Titolare, salvo obbligo di legge
• Assicurare che il personale autorizzato sia vincolato da obblighi di riservatezza per iscritto
• Adottare misure tecniche e organizzative adeguate al rischio
• Assistere il Titolare nel riscontro alle richieste degli interessati ai sensi degli artt. 15-22 GDPR
• Assistere il Titolare nell'adempimento degli artt. 32-34 GDPR, nelle DPIA e nelle consultazioni preventive con l'autorità di controllo
• Notificare al Titolare senza ingiustificato ritardo ogni violazione di dati personali di cui venga a conoscenza
• Al termine del servizio, cancellare o restituire i dati personali al Titolare, salvo obblighi di conservazione di legge
• Informare immediatamente il Titolare qualora, a parere di statycs, un'istruzione violi il GDPR o altra normativa applicabile

statycs adempie agli obblighi di audit di cui all'art. 28, par. 3, lett. h) GDPR mettendo a disposizione, su richiesta scritta ragionevole e non più di una volta ogni dodici mesi, un riepilogo di sicurezza aggiornato, l'elenco dei sub-responsabili e le risposte scritte a un ragionevole questionario del Titolare. Il Titolare - ovvero un revisore indipendente da esso incaricato, vincolato alla riservatezza - può inoltre effettuare un audit in loco non più di una volta ogni ventiquattro mesi, nonché in ogni caso su disposizione di un'autorità di controllo o in presenza di motivato sospetto di violazione. Gli audit in loco sono a carico del Titolare, con preavviso di trenta giorni, durante l'orario lavorativo, previo accordo scritto su ambito, tempi e riservatezza.

statycs si avvale dei seguenti sub-responsabili:

• Google Analytics (Google LLC, USA) - analisi web
• PostHog (PostHog Inc., USA; PostHog Cloud EU con hosting in Germania) - analisi di prodotto
• Hanko (Hanko GmbH, Germania) - autenticazione
• Zero (Zero Inc., Finlandia) - CRM
• Hetzner (Hetzner Online GmbH, Germania) - hosting
• Chatwoot (Chatwoot Inc., USA) - live chat per i visitatori del sito web, non per gli utenti dell'app

statycs assicura che tutti i sub-responsabili siano vincolati da accordi scritti che impongono obblighi di protezione dei dati equivalenti. Il Titolare è informato di ogni variazione con almeno trenta giorni di anticipo e può opporsi per motivi ragionevoli entro quattordici giorni. In assenza di soluzione, il Titolare può risolvere il contratto con effetto dalla data di entrata in vigore della variazione; statycs restituisce pro rata temporis i corrispettivi versati per il periodo non fruito.

I dati del Cliente sono conservati e trattati principalmente all'interno dell'Unione europea / Spazio economico europeo. Eventuali trasferimenti a sub-responsabili extra-UE/SEE (in particolare verso gli Stati Uniti) si fondano sulle Clausole Contrattuali Tipo (art. 46 GDPR) e, ove applicabili, su decisioni di adeguatezza.

Copia delle garanzie è disponibile su richiesta all'indirizzo [email protected].

statycs adotta le seguenti misure:

• Cifratura dei dati in transito (TLS) e a riposo
• Controllo degli accessi basato sui ruoli secondo il principio del minimo privilegio
• Autenticazione a più fattori (MFA) per i sistemi interni
• Revisioni di sicurezza periodiche, proporzionate alla natura e alla scala del trattamento, con test di terzi effettuati di volta in volta
• Backup automatizzati e procedure di disaster recovery
• Registrazione e monitoraggio degli accessi ai dati personali
• Formazione del personale sulla sicurezza

Una descrizione aggiornata delle misure è disponibile su richiesta all'indirizzo [email protected].

statycs notifica al Titolare senza ingiustificato ritardo ogni violazione dei dati personali che possa comportare un rischio per i diritti e le libertà degli interessati.

La notifica contiene, nei limiti delle informazioni disponibili: la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni coinvolte, le conseguenze probabili, le misure adottate o proposte per porvi rimedio o mitigarne gli effetti, nonché un punto di contatto ([email protected]) presso cui ottenere ulteriori informazioni.

statycs collabora con il Titolare e adotta misure ragionevoli per assistere nella gestione, nel contenimento e nella risoluzione della violazione.

La responsabilità per il trattamento dei dati ai sensi del presente DPA è disciplinata dai Termini e Condizioni del contratto di servizio sottostante. Nessuna disposizione del presente DPA modifica o estende le pattuizioni in materia di responsabilità concordate tra le Parti.

Ciascuna parte risponde dei danni cagionati da un trattamento che violi il GDPR, ai sensi dell'art. 82 GDPR. statycs risponde unicamente per i danni cagionati da un trattamento che violi gli obblighi specificamente diretti ai responsabili ai sensi del GDPR o le legittime istruzioni del Titolare.

Il presente DPA cessa automaticamente con la risoluzione del contratto di servizio.

Al termine, i dati personali trattati per conto del Titolare sono conservati per trenta giorni, decorsi i quali sono definitivamente cancellati, salva la richiesta del Titolare, entro tale termine, di restituzione in formato strutturato e di uso comune. statycs può conservare i dati oltre tale periodo solo se imposto dal diritto dell'Unione o austriaco, dandone comunicazione al Titolare.

Il presente DPA è disciplinato dal diritto austriaco. Foro competente esclusivo: Vienna.