Accordo sul Trattamento dei Dati

Questo DPA disciplina il trattamento dei Dati Personali del Cliente da parte di HansaChat per fornire il servizio. L’oggetto, la natura, le finalità, le categorie di dati, gli interessati e la durata sono specificati nell’Allegato 1.

Il Cliente determina le finalità e i mezzi essenziali del trattamento dei contenuti dello spazio di lavoro. HansaChat tratta tali dati per conto del Cliente. Questo DPA non copre i dati personali che HansaChat tratta come titolare indipendente per fatturazione, amministrazione degli account, sicurezza del servizio, prevenzione degli abusi, amministrazione dell’assistenza o conformità; tale trattamento è descritto nell’Informativa sulla privacy.

HansaChat tratta i Dati Personali del Cliente solo su istruzioni documentate del Cliente, compresi il Contratto di Servizio, questo DPA, l’uso e la configurazione del servizio da parte del Cliente e le istruzioni successive inviate in forma testuale. HansaChat può trattare i dati ove il diritto dell’Unione o di uno Stato membro lo richieda e informa il Cliente prima di farlo, salvo che la legge vieti tale comunicazione per importanti motivi di interesse pubblico.

HansaChat informa immediatamente il Cliente se, a suo giudizio, un’istruzione viola il GDPR o altra normativa applicabile dell’Unione o degli Stati membri in materia di protezione dei dati e può sospendere l’istruzione interessata finché non sia confermata o modificata.

HansaChat garantisce che ogni persona autorizzata a trattare i Dati Personali del Cliente sia vincolata da un obbligo di riservatezza o da un adeguato obbligo legale e riceva accesso solo dove necessario per il funzionamento, la manutenzione, la risoluzione dei problemi, la sicurezza, la prevenzione degli abusi, la conformità legale o l’assistenza richiesta dal Cliente.

Ove si applichi l’articolo 3 della legge tedesca sulla protezione dei dati dei servizi digitali di telecomunicazione (TDDDG), HansaChat protegge anche il contenuto e le circostanze delle comunicazioni quale segreto delle telecomunicazioni. HansaChat non acquisisce conoscenze oltre quanto necessario per fornire il servizio di comunicazione o proteggere i propri sistemi tecnici e usa tali conoscenze per un’altra finalità solo ove una legge lo consenta espressamente in relazione alle telecomunicazioni.

L’obbligo di riservatezza continua dopo la fine dell’attività della persona e dopo la cessazione del Contratto di Servizio.

Tenendo conto dello stato della tecnica, dei costi di attuazione e della natura, dell’ambito, del contesto e delle finalità del trattamento, HansaChat mantiene adeguate misure tecniche e organizzative ai sensi dell’articolo 32 del GDPR. Le misure attuali sono descritte nell’Allegato 2 e nella pagina Sicurezza.

HansaChat può aggiornare tali misure al variare della tecnologia e dei rischi, a condizione che il livello complessivo di protezione non sia ridotto in modo sostanziale durante il Contratto di Servizio.

Il Cliente concede a HansaChat un’autorizzazione generale scritta all’uso dei subincaricati elencati nell’Allegato 3. HansaChat impone a ciascun subincaricato obblighi di protezione dei dati essenzialmente equivalenti, resta responsabile del relativo adempimento ai sensi di questo DPA e tiene l’elenco aggiornato.

HansaChat dà al contatto dell’account del Cliente almeno 30 giorni di preavviso via e-mail, oppure tramite un avviso evidente nel servizio, prima di aggiungere o sostituire un subincaricato che tratti Dati Personali del Cliente. Un periodo più breve può essere usato quando necessario per far fronte a un urgente rischio per la sicurezza, la conformità legale o la disponibilità; in tal caso HansaChat fornirà il preavviso appena ragionevolmente possibile.

Il Cliente può opporsi durante il periodo di preavviso per ragionevoli motivi di protezione dei dati. Le parti cooperano in buona fede verso una soluzione commercialmente ragionevole. Se non ne è disponibile alcuna, il Cliente può recedere dal servizio interessato prima che il nuovo subincaricato inizi il trattamento, senza penale per il periodo prepagato non utilizzato di tale servizio.

L’archiviazione primaria degli spazi di lavoro si trova in Germania. Le copie di backup Restic cifrate sono conservate a Francoforte e Stoccolma. La consegna di rete e le funzionalità facoltative di supporto possono coinvolgere altre posizioni come indicato nell’Allegato 3.

HansaChat non trasferisce Dati Personali del Cliente a un paese terzo o a un’organizzazione internazionale, salvo su istruzioni del Cliente, se necessario per fornire una funzionalità abilitata del servizio o se richiesto dalla legge, e solo ove siano soddisfatti i requisiti del Capo V del GDPR. Le misure di salvaguardia applicabili possono includere una decisione di adeguatezza, le Clausole Contrattuali Standard della Commissione europea e misure tecniche e organizzative supplementari.

Se HansaChat riceve una richiesta da un interessato riguardante i Dati Personali del Cliente, la inoltra prontamente al Cliente e non risponde salvo autorizzazione del Cliente o obbligo di legge.

Tenendo conto della natura del trattamento e delle informazioni disponibili, HansaChat assiste ragionevolmente il Cliente nell’esercizio dei diritti degli interessati e nell’adempimento degli obblighi del Cliente agli articoli da 32 a 36 del GDPR, compresi sicurezza, valutazione delle violazioni, valutazioni d’impatto sulla protezione dei dati e consultazione preventiva.

HansaChat notifica al Cliente senza indebito ritardo dopo essere venuta a conoscenza di una violazione di dati personali che interessi i Dati Personali del Cliente. La notifica include le informazioni disponibili a HansaChat di cui il Cliente ragionevolmente abbia bisogno per i propri obblighi agli articoli 33 e 34 del GDPR; ulteriori informazioni possono essere fornite in fasi man mano che diventano disponibili.

HansaChat adotta misure ragionevoli per contenere, indagare, rimediare e mitigare la violazione e collabora con il Cliente. La notifica non costituisce ammissione di colpa o di responsabilità.

A scelta del Cliente, HansaChat restituisce o elimina i Dati Personali del Cliente al termine dei servizi di trattamento ed elimina le copie esistenti, salvo che il diritto dell’Unione o di uno Stato membro richieda la conservazione. Il Cliente deve richiedere la restituzione prima della data di eliminazione dello spazio di lavoro; in mancanza di istruzioni, è selezionata l’eliminazione.

Gli spazi di lavoro a pagamento e di prova disdetti restano utilizzabili per il periodo a pagamento o di prova in corso, poi passano in sola lettura per 90 giorni e vengono eliminati. L’eliminazione richiesta dal proprietario rende lo spazio di lavoro immediatamente in sola lettura e lo elimina dopo un periodo di grazia di 30 giorni, salvo annullamento. Gli spazi di lavoro demo sono eliminati dopo 24 ore. Gli spazi di lavoro gratuiti restano scrivibili e sono eliminati dopo 90 giorni senza un messaggio salvato. I database degli spazi di lavoro e gli oggetti caricati sono rimossi dal processo di eliminazione applicabile; i dati eliminati degli spazi di lavoro esauriscono il loro ciclo nei backup cifrati secondo il calendario dell’Allegato 2.

HansaChat rende disponibili le informazioni ragionevolmente necessarie a dimostrare la conformità all’articolo 28 del GDPR e a questo DPA. Il Cliente può eseguire l’audit del trattamento coperto direttamente o tramite un revisore indipendente e qualificato vincolato alla riservatezza.

Gli audit ordinariamente iniziano con la documentazione disponibile e una revisione remota. L’ispezione in loco è disponibile quando la documentazione è insufficiente o vi sono ragionevoli indizi di non conformità, con ragionevole preavviso e senza compromettere altri clienti, la sicurezza o i segreti commerciali. Il Cliente sostiene i costi ragionevoli dell’audit, salvo che l’audit identifichi una violazione sostanziale da parte di HansaChat. I poteri dell’autorità di controllo non sono limitati.

Questo DPA inizia quando diventa vincolante ai sensi della sezione Stato contrattuale e resta in vigore finché HansaChat non abbia eliminato tutti i Dati Personali del Cliente. Se HansaChat non può conformarsi a questo DPA, informa prontamente il Cliente. Il Cliente può sospendere il trattamento o recedere dal servizio interessato quando una violazione sostanziale non sia rimediata entro un periodo ragionevole.

Responsabilità, legge applicabile e foro seguono il Contratto di Servizio, salvo dove il diritto inderogabile in materia di protezione dei dati richieda diversamente. Nulla in questo DPA limita i diritti degli interessati o i poteri di un’autorità di controllo competente.