Accordo sul trattamento dei dati

Il presente Accordo sul trattamento dei dati (il “DPA”) è stipulato tra BlackLens Studio, 33/19B/8G, Lohiya Nagar, Balkeshwar, Agra, Uttar Pradesh 282005, India (“LumaKol”, “noi”) e il cliente che ha accettato i Termini di servizio di LumaKol (il “Cliente”, “tu”).

Il presente DPA fa parte dei Termini di servizio per ogni Cliente e si applica ogni volta che LumaKol tratta dati personali per conto del Cliente, ai sensi del Digital Personal Data Protection Act, 2023 indiano, del GDPR, del UK GDPR o di qualsiasi altra legge sulla protezione dei dati. Si applica automaticamente; non è necessario firmarlo.

Se un Cliente desidera una copia controfirmata per i propri archivi, può richiederla a [email protected]. In caso di conflitto tra il presente DPA e i Termini di servizio in materia di protezione dei dati personali, prevale il presente DPA.

• Per “Normativa sulla protezione dei dati” si intende ogni legge sulla protezione dei dati applicabile al trattamento, inclusi il Digital Personal Data Protection Act, 2023 indiano e i relativi regolamenti attuativi (il “DPDP Act”), il Regolamento generale sulla protezione dei dati dell’UE 2016/679 (GDPR), il UK GDPR e il UK Data Protection Act 2018, e il California Consumer Privacy Act e successive modifiche (il “CCPA”).
• Per “Dati personali del Cliente” si intendono i dati personali che LumaKol tratta per conto del Cliente per fornire il Servizio.
• “Titolare del trattamento”, “responsabile del trattamento”, “interessato”, “violazione dei dati personali” e “trattamento” hanno il significato attribuito dalla Normativa sulla protezione dei dati. Ove si applichi il DPDP Act, “titolare del trattamento” indica il Data Fiduciary, “responsabile del trattamento” indica il Data Processor e “interessato” indica il Data Principal.
• Per “Sub-responsabile” si intende un terzo incaricato da LumaKol di trattare Dati personali del Cliente.
• Per “SCC” si intendono le clausole contrattuali standard approvate dalla Commissione europea con la Decisione di esecuzione (UE) 2021/914, e per “Addendum del Regno Unito” l’International Data Transfer Addendum emesso dall’Information Commissioner del Regno Unito.

Gli altri termini con iniziale maiuscola hanno il significato attribuito nei Termini di servizio.

Il Cliente è il titolare del trattamento dei Dati personali del Cliente e LumaKol è il suo responsabile del trattamento. Se il Cliente è a sua volta un responsabile che agisce per conto di un altro titolare, LumaKol è il suo sub-responsabile e il Cliente è tenuto a trasmettere le istruzioni pertinenti.

LumaKol è un titolare autonomo per i dati personali di cui ha bisogno per gestire l’account del Cliente, come i nomi degli utenti, i dati di accesso e i dati di fatturazione. Tali dati sono disciplinati dall’Informativa sulla privacy, non dal presente DPA.

Ove si applichi il CCPA, il Cliente è un “business” e LumaKol il suo “service provider”. LumaKol non venderà né condividerà i Dati personali del Cliente, non li conserverà, utilizzerà o divulgherà per finalità diverse dalla fornitura del Servizio o al di fuori del suo rapporto commerciale diretto con il Cliente, e non li combinerà con dati personali provenienti da altre fonti, salvo quanto consentito dal CCPA. LumaKol informerà il Cliente qualora non fosse più in grado di rispettare tali obblighi.

Il Cliente è responsabile di disporre di una base giuridica (ai sensi del DPDP Act, il consenso o un uso legittimo) per il trattamento, dell’esattezza dei Dati personali del Cliente, di fornire alle persone che contatta qualsiasi informativa richiesta dalla legge, e del proprio rispetto delle leggi sulle chiamate di marketing e sulla registrazione delle chiamate.

• Oggetto: la fornitura di LumaKol, un CRM per le chiamate in cui il team del Cliente gestisce i lead, effettua chiamate dai propri telefoni cellulari e registra l’esito di ogni chiamata.
• Durata: per tutto il tempo in cui il Cliente utilizza il Servizio e, successivamente, fino alla cancellazione dei dati ai sensi di “Cancellazione e restituzione”.
• Natura: raccolta, conservazione, organizzazione, estrazione, visualizzazione, trasmissione agli utenti e ai dispositivi del Cliente, e cancellazione.
• Finalità: fornire, proteggere e supportare il Servizio per il Cliente, e per nessun’altra finalità.

LumaKol tratta i Dati personali del Cliente solo su istruzioni documentate del Cliente. Tali istruzioni sono costituite dai Termini di servizio, dal presente DPA e dall’uso e dalla configurazione del Servizio da parte del Cliente. LumaKol informerà il Cliente se ritiene che un’istruzione violi la Normativa sulla protezione dei dati, salvo che la legge glielo vieti.

Se la legge impone a LumaKol di trattare i Dati personali del Cliente in altro modo, ne informerà il Cliente prima di farlo, salvo che la legge lo vieti.

LumaKol garantisce che chiunque sia autorizzato a trattare i Dati personali del Cliente sia vincolato da un obbligo di riservatezza. L’accesso del personale ai Dati personali del Cliente è limitato a quanto necessario per gestire e supportare il Servizio, e viene registrato.

LumaKol adotta misure tecniche e organizzative adeguate al rischio, tra cui:

• crittografia dei dati in transito (TLS), crittografia del database a riposo e un secondo livello di crittografia AES-256 per i segreti come i token e le password delle caselle di posta collegate;
• separazione dei dati di ciascun cliente per spazio di lavoro, con ogni query filtrata in base allo spazio di lavoro del cliente;
• password sottoposte a hash con Argon2id e token di sessione conservati solo come hash;
• limitazione della frequenza e blocco degli accessi;
• accesso basato sui ruoli nel prodotto, con opzioni per mascherare i numeri di telefono, limitare le esportazioni e restringere chi può ascoltare le registrazioni;
• log di audit di sola aggiunta per le azioni sensibili;
• autenticazione a più fattori per il personale di LumaKol, con accesso registrato ai dati di produzione;
• backup per il ripristino dopo un guasto, che vengono sovrascritti entro circa quattro settimane.

LumaKol può aggiornare queste misure purché il livello complessivo di protezione non diminuisca.

Il Cliente autorizza LumaKol a ricorrere ai sub-responsabili descritti nella tabella seguente. LumaKol vincola ciascun sub-responsabile, mediante contratto scritto, a obblighi di protezione dei dati non meno tutelanti di quelli del presente DPA, e resta responsabile nei confronti del Cliente dell’operato di ciascun sub-responsabile. I nomi degli attuali sub-responsabili vengono comunicati a qualsiasi Cliente su richiesta a [email protected] e fanno parte del presente DPA.

Prima che un nuovo sub-responsabile inizi a trattare Dati personali del Cliente, LumaKol ne darà comunicazione al titolare dello spazio di lavoro via email con almeno 30 giorni di anticipo, indicandone il nome. Entro tale periodo il Cliente può opporsi per ragionevoli motivi legati alla protezione dei dati. Se le parti non riescono a risolvere l’opposizione, il Cliente può smettere di utilizzare la parte del Servizio interessata o porre fine all’abbonamento.

Quando l’app per iPhone sarà rilasciata, le sue notifiche push verranno inviate dal servizio della piattaforma iPhone; lo aggiungeremo a questo elenco, con il preavviso descritto sopra, prima che ciò accada. Google Drive, Sheets e Calendar, il calendario di Microsoft Outlook e le inserzioni per lead di Facebook e Instagram non possono ancora essere collegati.

Le registrazioni delle chiamate sono conservate sui server di LumaKol. I memo vocali e le foto delle visite sul campo verranno salvati nel Google Drive del membro del team che lo collega, non sui server di LumaKol.

Le email che un cliente invia ai propri lead passano dalla casella di posta del cliente (Impostazioni → Email), non dal fornitore email di LumaKol. I sistemi che il cliente collega autonomamente, come il proprio sito web, le fonti di lead, i client API e gli endpoint webhook, ricevono dati su istruzione del cliente e non sono sub-responsabili di LumaKol.

Il Servizio consente al Cliente di consultare, rettificare, esportare ed eliminare i dati dei propri lead e di bloccare ulteriori chiamate a un lead, così da poter rispondere autonomamente alla maggior parte delle richieste degli interessati. Quando ciò non è possibile, LumaKol fornirà assistenza su richiesta, tenendo conto della natura del trattamento.

Se LumaKol riceve direttamente da un interessato una richiesta relativa ai Dati personali del Cliente, la trasmetterà al Cliente senza ingiustificato ritardo e non risponderà se non su istruzione del Cliente.

LumaKol fornirà inoltre un ragionevole supporto per le valutazioni d’impatto sulla protezione dei dati del Cliente e per le consultazioni con le autorità di controllo, nella misura in cui riguardino il trattamento effettuato da LumaKol.

LumaKol informerà il Cliente senza ingiustificato ritardo, e in ogni caso entro 48 ore, dopo essere venuta a conoscenza di una violazione dei dati personali che riguarda i Dati personali del Cliente, così che il Cliente possa adempiere ai propri obblighi di notifica alle autorità di regolamentazione e alle persone interessate, ad esempio entro 72 ore ai sensi del GDPR e dei regolamenti del DPDP Act. La comunicazione descriverà, per quanto noto in quel momento, la natura della violazione, le categorie e il numero approssimativo di persone e record coinvolti, le probabili conseguenze e le misure adottate o proposte, e indicherà un referente per ulteriori informazioni.

LumaKol aggiornerà il Cliente man mano che emergeranno nuove informazioni e adotterà misure ragionevoli per contenere la violazione e limitarne gli effetti. La notifica di una violazione non costituisce un’ammissione di colpa.

Durante l’abbonamento il Cliente può esportare i propri lead in CSV e leggere i propri dati tramite l’API pubblica. Quando il Cliente chiude il proprio spazio di lavoro, o i suoi dati raggiungono la fine del periodo di conservazione previsto dalle Condizioni di pagamento dopo una disdetta o una pausa per mancato pagamento, LumaKol cancella i Dati personali del Cliente dal Servizio.

Le copie nei backup scadono secondo un calendario a rotazione e vengono cancellate alla scadenza. LumaKol può conservare dati solo quando la legge lo impone, e in tal caso solo quei dati, protetti ai sensi del presente DPA, per il tempo richiesto dalla legge.

Su ragionevole richiesta, LumaKol metterà a disposizione le informazioni necessarie a dimostrare il rispetto dei propri obblighi ai sensi del presente DPA e dell’articolo 28 del GDPR, come risposte scritte a questionari sulla sicurezza.

Se tali informazioni non sono sufficienti, il Cliente può verificare la conformità di LumaKol mediante audit, direttamente o tramite un revisore indipendente vincolato alla riservatezza, con un preavviso scritto di almeno 30 giorni, durante l’orario lavorativo, non più di una volta all’anno salvo richiesta di un’autorità di controllo o dopo una violazione dei dati personali, e a spese del Cliente. Le parti concorderanno in anticipo l’ambito, in modo che l’audit non interrompa il Servizio né esponga i dati di altri clienti.

LumaKol tratta i Dati personali del Cliente in India, a Singapore e in Giappone, dove il Servizio è ospitato, e nei paesi in cui operano i suoi sub-responsabili. Quando ciò comporta un trasferimento di dati personali al di fuori dello SEE, o al di fuori del Regno Unito, verso un paese privo di una decisione di adeguatezza o di regolamenti di adeguatezza, le parti convengono che:

• per i dati dello SEE si applicano le SCC, incorporate nel presente DPA mediante rinvio: il Modulo Due (da titolare a responsabile) se il Cliente è un titolare, e il Modulo Tre (da responsabile a responsabile) se il Cliente è un responsabile, con la clausola di adesione facoltativa, l’opzione 2 (autorizzazione generale) della Clausola 9, e la legge applicabile e i tribunali dell’Irlanda nelle Clausole 17 e 18;
• per i dati del Regno Unito si applica l’Addendum del Regno Unito, incorporato mediante rinvio, con le relative tabelle compilate con le informazioni del presente DPA;
• le informazioni richieste dalle SCC nei rispettivi allegati sono quelle contenute in “Parti”, “Oggetto, durata, natura e finalità”, “Interessati e dati personali”, “Misure di sicurezza” ed “Elenco dei sub-responsabili” sopra.

Ove si applichi il DPDP Act, LumaKol non trasferirà i Dati personali del Cliente verso un paese o territorio soggetto a restrizioni da parte del Governo dell’India.

In caso di conflitto tra le SCC o l’Addendum del Regno Unito e il presente DPA, prevalgono le prime. LumaKol richiede ai propri sub-responsabili di proteggere i trasferimenti successivi con garanzie adeguate.

La responsabilità di ciascuna parte ai sensi del presente DPA è soggetta alle limitazioni previste dai Termini di servizio, salvo nei casi in cui la Normativa sulla protezione dei dati o le SCC non consentano di limitare la responsabilità.

Il presente DPA resta in vigore per tutto il tempo in cui LumaKol tratta Dati personali del Cliente. Gli obblighi che per loro natura devono sopravvivere, come la riservatezza e la cancellazione, sopravvivono alla sua cessazione. LumaKol può aggiornare il presente DPA per riflettere modifiche della legge o del Servizio; non ridurrà la protezione garantita ai Dati personali del Cliente, e la data di “Ultimo aggiornamento” riportata sopra indica la versione in vigore.

Domande sul presente DPA, comunicazioni ai sensi dello stesso e richieste di una copia controfirmata vanno inviate a [email protected].

Richiedi una copia firmata: scrivi a [email protected] indicando la denominazione legale e l’indirizzo della tua organizzazione, e ti rispediremo il presente DPA controfirmato.