Accordo sul trattamento dei dati

Questo accordo fa parte delle condizioni di vendita e licenza d’uso di Secuenza e si accetta insieme a esse. Regola il trattamento che Tude effettua, per conto del cliente, dei dati dei destinatari delle sue email, ai sensi dell’articolo 28 del Regolamento (UE) 2016/679 (GDPR).

1. Parti

• Titolare del trattamento: il cliente che usa Secuenza e decide a chi scrivere e perché.
• Responsabile del trattamento: TUDE CONSULTORES INFORMÁTICOS, S.L. («Tude»), NIF B71466502, Avda. Zaragoza, 67 · 31500 Tudela (Navarra), Spagna.

2. Cosa tratta Tude e perché

I contatti e le email del cliente sono sul suo PC: Tude non li riceve. Perché il cliente sappia cosa succede alle sue email, il programma aggiunge a ciascuna un pixel di apertura, dei link e un link di disiscrizione che puntano al servizio di tracciamento di Tude (secuenza.eu). Per conto del cliente, Tude:

• registra le aperture, i clic e le disiscrizioni, e li consegna al programma del cliente;
• fornisce la versione di ogni email per «visualizzarla nel browser»;
• fornisce la pagina di disiscrizione con il nome, il logo e il colore del cliente;
• riceve le iscrizioni che arrivano dal modulo del sito del cliente o dal suo sistema tramite l’API, e le conserva finché il programma del cliente non le raccoglie;
• conserva e fornisce le immagini che il cliente carica per le sue email;
• conserva una copia di backup delle impronte degli indirizzi disiscritti, perché il cliente non perda la propria lista di esclusione;
• se il cliente la invia da Aiuto, tratta la diagnostica del programma per fornirgli assistenza.

Tude non conserva gli indirizzi email dei destinatari. Ogni evento è associato a un codice casuale che solo il programma del cliente sa collegare a un contatto. L’unica eccezione sono le iscrizioni: i dati di chi si iscrive vengono conservati solo di passaggio, finché il programma del cliente non li raccoglie.

3. Interessati e dati

• Interessati: i destinatari delle email del cliente, e le persone che si iscrivono alle sue campagne tramite un modulo o l’API.
• Dati: il codice dell’invio; il tipo di evento e la sua data; se l’apertura è stata automatica (come fanno alcuni provider di posta); il tipo di dispositivo (cellulare o computer); il link cliccato; il motivo della disiscrizione, se il destinatario lo indica; le impronte (SHA-256) degli indirizzi disiscritti; e il contenuto delle email per «visualizza nel browser», nella versione generale, senza i dati di ciascun destinatario. Nella diagnostica, le righe di registro del programma, con gli indirizzi email oscurati. Nelle iscrizioni, i dati forniti da chi si iscrive o inviati dal sistema del cliente (l’indirizzo email, il nome e gli altri dati di contatto), la pagina del modulo senza i suoi parametri, se ha accettato di ricevere le email e la data.
• L’indirizzo IP e il browser dei destinatari e di chi si iscrive non vengono conservati.
• Non si trattano categorie particolari di dati. Il cliente non deve includerle nelle sue email.

4. Durata

• Eventi: finché il programma del cliente non li raccoglie, e al massimo 90 giorni.
• Disiscrizioni, per il controllo degli abusi: il codice dell’email, la data e se il motivo era «Non ricordo di essermi iscritto», 90 giorni.
• Versioni per il browser: finché l’email fa parte di una campagna del cliente.
• Impronte delle disiscrizioni: finché esiste l’installazione.
• Diagnostica: 30 giorni.
• Iscrizioni: finché il programma del cliente non le raccoglie, e al massimo 30 giorni.
• Immagini delle email: finché il cliente non le elimina o il rapporto termina.

Al termine del rapporto, Tude cancella entro 30 giorni ciò che conserva per conto del cliente, salvo che la legge imponga di conservarlo. Su richiesta del cliente, Tude certificherà la cancellazione.

5. Obblighi di Tude

Tude si impegna a:

• trattare i dati solo per quanto descritto in questo accordo e secondo le istruzioni del cliente, che si concretizzano nell’uso del programma; se un’istruzione gli sembra contraria al GDPR, lo segnalerà al cliente;
• garantire che le persone autorizzate a trattare i dati si siano impegnate alla riservatezza;
• applicare le misure di sicurezza della sezione 8;
• non ricorrere ad altri responsabili senza l’autorizzazione del cliente, secondo la sezione 7;
• aiutare il cliente a rispondere alle richieste degli interessati (sezione 10) e a rispettare i suoi obblighi di sicurezza, notifica delle violazioni e valutazione d’impatto;
• cancellare i dati alla fine, secondo la sezione 4;
• mettere a disposizione del cliente le informazioni necessarie per dimostrare la propria conformità, e consentire audit con un preavviso di 30 giorni. Il costo dell’audit è a carico del cliente, salvo che riveli una violazione grave da parte di Tude.

6. Obblighi del cliente

Il cliente si impegna a:

• avere una base giuridica per scrivere a ciascun destinatario e per il tracciamento delle sue email;
• informare i propri destinatari del trattamento, ai sensi degli articoli 13 e 14 del GDPR;
• rispettare le disiscrizioni e non scrivere di nuovo a chi si è disiscritto;
• non includere categorie particolari di dati nelle sue email;
• rispettare la politica di utilizzo accettabile.

7. Altri responsabili (sub-responsabili)

Il cliente autorizza Tude a ricorrere ai sub-responsabili indicati nell’allegato. Tude comunicherà qualsiasi modifica con 30 giorni di anticipo, e il cliente potrà opporsi entro 15 giorni; se non si trova una soluzione, potrà disdire l’abbonamento senza penali. Tude imporrà a ogni sub-responsabile gli stessi obblighi di questo accordo e risponderà del loro rispetto.

8. Misure di sicurezza

• Connessioni cifrate (HTTPS) su tutti i servizi.
• Nessun indirizzo dei destinatari sul server: codici casuali e impronte crittografiche. Le iscrizioni, solo finché il programma del cliente non le raccoglie.
• Link di tracciamento firmati, perché nessuno possa usarli per reindirizzare altrove.
• Richieste del programma firmate con una chiave propria di ogni installazione.
• Accesso al database limitato, e autenticazione a due fattori obbligatoria per l’amministrazione.
• Registri tecnici senza dati personali, cancellati dopo 14 giorni.
• Sospensione delle installazioni che abusano del servizio, per proteggere tutti i clienti.

Tude rivedrà queste misure quando cambieranno i rischi o lo stato della tecnica.

9. Violazioni di sicurezza

Tude avviserà il cliente senza ingiustificato ritardo, ed entro 48 ore da quando ne viene a conoscenza, di qualsiasi violazione di sicurezza che riguardi questi dati. Gli dirà cosa è successo, quali dati e interessati sono coinvolti, le possibili conseguenze e cosa è stato fatto per porvi rimedio, e lo aiuterà a notificarla all’autorità di controllo quando necessario.

10. Diritti degli interessati

Il link di disiscrizione di ogni email funziona sempre, anche se l’installazione del cliente è sospesa. Se un destinatario si rivolge a Tude per esercitare altri diritti, Tude lo comunicherà al cliente entro 48 ore e non gli risponderà direttamente, salvo che il cliente lo chieda.

11. Trasferimenti internazionali

I dati sono trattati nell’Unione europea. Tude non li trasferirà fuori dallo Spazio economico europeo senza l’autorizzazione del cliente e senza le garanzie richieste dal GDPR.

12. Durata dell’accordo

Questo accordo resta in vigore finché il cliente usa Secuenza e finché Tude conserva dati per suo conto.

13. Contatti

Per qualsiasi domanda su questo accordo: info@secuenza.com.

Allegato · Sub-responsabili

Sub-responsabile	Cosa fa	Dati	Dove
MonsterASP.NET (Praga, Repubblica Ceca)	Hosting del servizio di tracciamento, dei servizi del programma e del database	Tutti quelli descritti nella sezione 3	Unione europea

Lingua

Questo testo è una traduzione. In caso di discordanza prevale la versione spagnola.