Quando il cliente installa Cookiesh sul proprio sito web, le scelte di consenso dei visitatori sono dati personali. È il cliente a decidere perché questi dati vengono raccolti, quindi è il titolare del trattamento. Cookiesh li tratta per suo conto, quindi è il suo responsabile del trattamento. L’articolo 28 del GDPR richiede un contratto tra le due parti, e il nostro accordo sul trattamento dei dati (Data Processing Agreement, DPA) è quel contratto.
Questa pagina riassume il DPA in un linguaggio semplice. In caso di discrepanze, prevale il testo completo dell’accordo.
Come si applica il DPA
Il DPA fa parte dei nostri Termini di servizio e si applica automaticamente a ogni account Cookiesh, compreso il piano gratuito. Non è necessario firmare nulla perché sia in vigore.
Se le procedure di acquisto del cliente richiedono una copia controfirmata, è sufficiente scrivere a privacy@cookiesh.eu indicando la ragione sociale e l’indirizzo dell’azienda: ne invieremo una da firmare elettronicamente. Con i piani Enterprise possiamo anche negoziare un DPA personalizzato o partire da un modello del cliente.
Cosa trattiamo
| Dettagli | |
|---|---|
| Oggetto | Fornitura del servizio di gestione del consenso Cookiesh |
| Interessati | Visitatori dei siti web e delle app del cliente; utenti del cliente che accedono alla dashboard |
| Dati personali | ID di consenso pseudonimo, marca temporale, scelte di consenso per categoria, versione del banner e dell’informativa, regione approssimativa (paese o stato), user agent troncato e, se il cliente usa identify(), un hash con salt del suo ID utente |
| Dati non trattati | Gli indirizzi IP in chiaro non vengono conservati. Non trattiamo categorie particolari di dati personali. |
| Finalità | Registrare, conservare e dimostrare il consenso e renderlo disponibile al sito web del cliente |
| Durata | Per tutto il tempo in cui il cliente utilizza Cookiesh, più il periodo di conservazione configurato per i record di consenso |
I nostri obblighi come responsabile del trattamento
Ai sensi del DPA, Cookiesh:
- tratta i dati personali soltanto su istruzione documentata del cliente, fornita tramite i Termini, il DPA e la configurazione del servizio;
- garantisce che chiunque abbia accesso ai dati sia vincolato alla riservatezza;
- applica le misure di sicurezza tecniche e organizzative descritte nella nostra pagina sulla sicurezza;
- assiste il cliente nel rispondere alle richieste degli interessati, ad esempio esportando o cancellando i record di consenso collegati a un ID di consenso o a un ID utente;
- assiste il cliente nelle valutazioni d’impatto sulla protezione dei dati e nelle consultazioni con le autorità di controllo, se riguardano il nostro servizio;
- notifica al cliente una violazione dei dati personali che riguarda i suoi dati senza ingiustificato ritardo e comunque entro 48 ore dal momento in cui ne viene a conoscenza;
- alla cessazione dell’accordo, cancella o restituisce i dati del cliente, a scelta di quest’ultimo, salvo che la legge ne imponga la conservazione;
- mette a disposizione le informazioni necessarie a dimostrare la conformità e consente gli audit come descritto di seguito.
Sub-responsabili
Il cliente ci concede un’autorizzazione generale a ricorrere ai sub-responsabili elencati nella nostra pagina dei sub-responsabili. Vincoliamo ciascuno di essi a obblighi di protezione dei dati almeno equivalenti a quelli del DPA e rimaniamo responsabili del loro operato.
Informiamo i clienti almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile. Se il cliente si oppone per ragionevoli motivi legati alla protezione dei dati, collaboreremo con lui per trovare una soluzione. Se non sarà possibile trovarla, il cliente potrà recedere dal servizio interessato e ottenere il rimborso degli eventuali corrispettivi già pagati per esso.
Trasferimenti internazionali
I record di consenso sono conservati nell’Unione europea. Quando un sub-responsabile accede a dati personali dall’esterno dello Spazio economico europeo, il trasferimento è coperto da una decisione di adeguatezza, come l’EU-US Data Privacy Framework, o dalle clausole contrattuali tipo della Commissione europea (moduli 2 e 3). Per i trasferimenti dal Regno Unito e dalla Svizzera, il DPA include l’UK International Data Transfer Addendum e le modifiche svizzere alle clausole.
Audit
Rispondiamo a questionari di sicurezza ragionevoli e, su richiesta, forniamo sintesi delle nostre policy di sicurezza e dei risultati dei test condotti da terze parti. Se queste informazioni non bastano a dimostrare la conformità, o se un’autorità di controllo lo richiede, il cliente può svolgere un audit una volta l’anno, con un preavviso di 30 giorni e con obbligo di riservatezza. Gli audit in loco sono disponibili con i piani Enterprise.
Leggi statunitensi sulla privacy
Per i clienti soggetti al CCPA/CPRA e a leggi analoghe di altri stati USA, il DPA include le clausole previste per i fornitori di servizi (service provider). Cookiesh non venderà né condividerà informazioni personali, non le utilizzerà per finalità diverse dalla fornitura del servizio e non le combinerà con informazioni personali provenienti da altre fonti, salvo quanto consentito da tali leggi.
Contatti
Per ottenere un DPA firmato o per qualsiasi domanda in merito, scrivere a privacy@cookiesh.eu.