Accordo di Elaborazione Dati PhotoRobot (DPA)

Questo documento rappresenta l'Accordo di Elaborazione Dati PhotoRobot: Versione 1.0 — PhotoRobot Edition, uni-Robot Ltd., Repubblica Ceca.

‍

‍

1. Parti

Questo Accordo di Trattamento dei Dati ("DPA") è stipulato tra:

Controller (Cliente)
L'individuo o la persona giuridica che ha stipulato i Termini di Servizio di PhotoRobot e utilizza il Servizio.

e

Processore:
uni-Robot Ltd.
Vodičkova 710/31
110 00 Praga 1
Repubblica Ceca
ID azienda: 01478061
ID IVA: CZ01478061
Email: legal@photorobot.com

D'ora in poi collettivamente denominati le "Parti".

Questa DPA integra i Termini di Servizio di PhotoRobot e si applica quando PhotoRobot elabora dati personali per conto del Cliente.

‍

‍

2. Materia e natura del trattamento

PhotoRobot ("Processore") fornisce servizi basati su cloud, estensioni software locali, gestione firmware e infrastruttura di hosting necessaria per elaborare immagini, metadati e contenuti digitali correlati caricati dal Cliente ("Controller").

La lavorazione include:

• Collezione
• Stoccaggio
• Trasmissione
• Estrazione dei metadati
• sincronizzazione tra CL ↔ Cloud
• Hosting di contenuti caricati dai clienti
• Creazione di Log e Diagnostica
• Operazioni di riserva

Il trattamento viene eseguito esclusivamente per conto del Responsabile, secondo le istruzioni documentate.

‍

‍

3. Durata

Questa DPA rimane in vigore per tutta la durata del rapporto contrattuale tra le Parti e successivamente finché il Responsabile memorizza o elabora dati personali per conto del Responsabile.

‍

‍

4. Dati personali e categorie di soggetti dati

4.1. Tipi di dati personali

A seconda di come viene utilizzato il Servizio, i dati trattati possono includere:

• Dati di identificazione (nome, cognome, azienda)
• Dati di contatto (email, telefono)
• Contenuti visivi (immagini, video)
• Metadati associati ai contenuti caricati
• dati di registro, indirizzi IP, identificatori tecnici
• Dati a livello di progetto
• credenziali (hashate), token di accesso

Il responsabile non richiede né elabora intenzionalmente categorie particolari di dati (Art. 9 GDPR).

‍

4.2. Categorie di soggetti dati

• Dipendenti del cliente
• Clienti o partner del cliente
• Utenti autorizzati
• Qualsiasi individuo presentato in contenuti visivi caricati dal Cliente

Il cliente è l'unico responsabile di garantire la raccolta legale dei dati dai soggetti in data.

‍

‍

5. Istruzioni dal Controller

Il processore elabora solo i dati personali:

1. secondo le istruzioni documentate del Controller,
2. come richiesto per fornire il Servizio,
3. garantire sicurezza, integrità e disponibilità dei sistemi,
4. come richiesto dalla legge UE o ceca.

Se il Processore considera un'istruzione illegale, deve notificare il Controller.

‍

‍

6. Riservatezza

Il Processore garantisce che tutte le persone autorizzate a elaborare dati personali:

• sono soggette a obblighi di riservatezza,
• aver ricevuto una formazione adeguata,
• elaborare i dati esclusivamente sotto le istruzioni del Direttore.

‍

‍

7. Subprocessori

Il processore utilizza determinate terze parti ("Sub-Processori") per supportare il Servizio.

‍

7.1. Subprocessori approvati

Il Controller concede un'autorizzazione generale al Processore per coinvolgere le seguenti categorie di Sub-Processori:

• Fornitori di infrastrutture cloud (ad esempio, Google Cloud Platform)
• Fornitori di e-mail
• Fornitori di analisi
• Sistemi di biglietteria
• Servizi di monitoraggio della sicurezza
• Sistemi di backup e recupero in caso di disastri

Un elenco completo è mantenuto nella PhotoRobot Sub-Processor List e può essere aggiornato.

‍

7.2. Notifica dei cambiamenti

Il Processore deve notificare al Controller qualsiasi modifica prevista ai Sub-Processori almeno 15 giorni prima, consentendo al Controller di opporsi su motivi ragionevoli.

‍

‍

8. Trasferimenti Dati Internazionali

Quando i subprocessori o l'infrastruttura si trovano al di fuori del SEE, il processore garantisce:

• applicazione delle Clausole Contrattuali Standard (SCC 2021),
• salvaguardie tecniche e organizzative supplementari,
• accesso e crittografia minimizzati,
• audit di conformità da parte del fornitore sottostante.

Google Cloud Platform offre:

• ISO 27001, ISO 27017, ISO 27018
• Rapporti SOC 1/2/3
• Documentazione di conformità GDPR

Dettagli disponibili su https://cloud.google.com/security.

‍

‍

9. Misure di sicurezza

Il processore deve implementare misure tecniche e organizzative (TOM) standard industriali, tra cui:

‍

9.1. Misure tecniche

• Crittografia TLS dei dati in transito
• Archiviazione sicura con token di accesso criptati
• ambienti di elaborazione isolati
• Hashing delle password
• Limiti di velocità e sistemi di rilevamento intrusioni
• Firewall multilivello
• sicurezza fisica dei data center (tramite Google Cloud)

‍

9.2. Misure organizzative

• Controllo di accesso basato sui ruoli
• Logging e monitoraggio degli accessi
• Politiche interne per la gestione dei dati
• Obblighi di riservatezza dei dipendenti
• Addestramento periodico alla sicurezza
• Gestione del rischio dei fornitori

Un elenco completo dei TOM è disponibile su richiesta.

‍

‍

10. Diritti dei Soggetti Dati

Il processore assiste il Controller nella risposta a:

• Richieste di accesso
• Rettifica
• Cancellazione
• Restrizione
• Portabilità dei dati
• Obiezioni

Il Processore deve inoltrare qualsiasi richiesta diretta da un soggetto dati al Responsabile del Trattamento senza indebito ritardo.

‍

‍

11. Notifica di violazione dati

In caso di violazione dei dati personali, il Responsabile deve notificare al Responsabile:

• Senza indebita indugia,
• inclusa tutte le informazioni richieste dall'Articolo 33 GDPR,
• e fornire aggiornamenti continui fino al completamento delle bonifiche.

Il controllore rimane responsabile della notifica alle autorità e agli individui interessati.

‍

‍

12. Cancellazione o restituzione dei dati

Alla risoluzione del contratto:

• Il processore elimina i dati del cliente dopo 30 giorni,
• salvo diversa istruzione del Direttore,
• Tranne quando la conservazione sia richiesta dalla legge.

I backup vengono sovrascritti durante il loro ciclo di vita normale.

‍

‍

13. Audit

Il controller ha il diritto di:

• ricevere documentazione che dimostri la conformità al GDPR
• richiedere un rapporto sui TOM
• effettuare audit ragionevoli, limitati a una volta all'anno
• si affidano a certificazioni di terze parti (report ISO/SOC di Google Cloud)

Gli audit non devono mettere a rischio la sicurezza né interrompere le operazioni.

‍

‍

14. Responsabilità

La responsabilità delle Parti segue i Termini di Servizio.
Il Responsabile è responsabile solo per violazioni causate dalla propria violazione degli obblighi GDPR.

‍

‍

15. Diritto di Governo e Giurisdizione

Questa DPA è regolata dalle leggi della Repubblica Ceca.

Le controversie saranno risolte dai tribunali di Praga, Repubblica Ceca.

‍

‍

16. Clausole Contrattuali Standard (SCC)

Quando necessario, l'SCC 2021 (Modulo 2: Controller → Processor) si applica come allegato a questo DPA.

PhotoRobot:

• incorpora SCC per riferimento,
• include tutte le clausole obbligatorie,
• Implementa misure tecniche supplementari
• garantisce la conformità per i trasferimenti ai subprocessori esterni al SEE.

Il SCC può essere fornito integralmente su richiesta.

‍

‍

17. Contatto

uni-Robot Ltd.
Vodičkova 710/31
110 00 Praga 1
Repubblica Ceca

Email: legal@photorobot.com

‍