Premessa
Il presente Accordo per il trattamento dei dati («DPA») integra i Termini di servizio di GMC Guardian e si applica ai commercianti che utilizzano GMC Guardian i cui clienti finali si trovano nello Spazio economico europeo, nel Regno Unito o in Svizzera.
1. Definizioni
- Titolare del trattamento: Lei (il commerciante), che determina le finalità e i mezzi del trattamento dei dati personali.
- Responsabile del trattamento: GMC Guardian, che tratta i dati personali per Suo conto. L'identificazione societaria completa dell'entità operativa è disponibile su richiesta a [email protected].
- Dati personali: qualsiasi dato relativo a una persona fisica identificata o identificabile, come definito all'articolo 4 del GDPR.
2. Oggetto e durata
Il Responsabile tratta dati personali soltanto dei commercianti - non dei loro clienti finali - per erogare il servizio GMC Guardian per la durata dell'abbonamento del Titolare.
3. Natura e finalità del trattamento
Le operazioni di trattamento includono: archiviazione di token di autenticazione, esecuzione di scansioni, generazione di dossier di prove, proposte di correzione del feed basate sull'IA, notifiche e-mail e logging di audit - strettamente limitate a quanto necessario per erogare il servizio contrattualizzato.
4. Categorie di interessati e di dati personali
Interessati: il commerciante (proprietario del negozio) e gli utenti d'agenzia autorizzati.
Categorie di dati personali: identità aziendale (nome, e-mail, indirizzo, telefono), token di autenticazione (cifrati), risultati delle scansioni, voci del registro di audit (IP, user agent, azione, timestamp).
Il Responsabile non tratta dati personali dei clienti finali del commerciante (acquirenti).
5. Sub-responsabili
Il Titolare autorizza l'utilizzo dei sub-responsabili elencati su /fiducia. Il Responsabile aggiorna tale elenco prima che un nuovo sub-responsabile inizi il trattamento. Il Titolare può opporsi per motivi legittimi, nel qual caso il Responsabile offrirà un'alternativa commercialmente ragionevole o, in mancanza, consentirà la risoluzione del servizio interessato.
6. Trasferimenti internazionali
Quando i dati personali sono trasferiti al di fuori del SEE, il Responsabile si avvale delle Clausole Contrattuali Standard (SCC) o dell'EU-US Data Privacy Framework ove applicabile.
7. Misure di sicurezza
Il Responsabile implementa misure tecniche e organizzative adeguate, tra cui:
- Cifratura a riposo di tutti i token di autenticazione (libsodium AEAD)
- TLS 1.3 in transito
- Registro di audit append-only
- Controllo degli accessi con separazione dei ruoli (operatore / admin / commerciante)
- Audit di sicurezza periodici e scansione delle dipendenze
- Procedure di risposta agli incidenti con impegno di notifica delle violazioni entro 72 ore
8. Diritti degli interessati
Il Responsabile assisterà il Titolare nell'evasione delle richieste di esercizio dei diritti degli interessati (accesso, rettifica, cancellazione, portabilità, limitazione, opposizione) entro 14 giorni dalla ricezione.
9. Audit
Il Titolare può, a proprie spese e con 30 giorni di preavviso, verificare la conformità del Responsabile al presente DPA - tramite questionario remoto, tramite revisione di certificazioni indipendenti di terze parti (SOC 2 Type II, una volta ottenuta), oppure tramite visita on-site quando giustificata.
10. Notifica delle violazioni
Il Responsabile notificherà al Titolare ogni violazione di dati personali senza ingiustificato ritardo e in ogni caso entro 72 ore dalla conoscenza, fornendo tutte le informazioni necessarie affinché il Titolare possa adempiere ai propri obblighi di notifica ai sensi dell'articolo 33 GDPR.
11. Restituzione o cancellazione
Alla cessazione, il Responsabile cancellerà o restituirà tutti i dati personali entro 30 giorni, salvo qualora la conservazione sia richiesta dalla legge (ad esempio, obblighi di conservazione del registro di audit).
12. Responsabilità
Il presente DPA è regolato dalle clausole di responsabilità dei Termini di servizio di GMC Guardian.
13. Contatti
Per richieste in materia di protezione dei dati, scriva a [email protected].