Accordo di trattamento dei dati

Cliente indica la persona o l’organizzazione identificata nell’Accordo e nella registrazione dell’account. LensGo indica Acosh, Sweelinckplantsoen 40, 1323 MT Almere, Paesi Bassi. Il Cliente è il titolare del trattamento e LensGo il responsabile del trattamento dei Dati personali del Cliente. Qualora il Cliente agisca come responsabile del trattamento per un altro titolare, conferma la propria autorità a nominare LensGo come sub-responsabile del trattamento e a comunicare le istruzioni di tale titolare.

Servizi indica il servizio di condivisione di foto e video di eventi di LensGo, inclusa la raccolta, la memorizzazione, l’organizzazione, la moderazione, la visualizzazione e il download dei contenuti degli eventi. Dati personali del Cliente indica i dati personali trattati da LensGo per conto del Cliente al fine di fornire tali Servizi. Un Sub-responsabile del trattamento è un fornitore incaricato da LensGo di trattare tali dati per conto del Cliente.

GDPR indica il Regolamento (UE) 2016/679. Normativa applicabile in materia di protezione dei dati indica il GDPR e le leggi integrative applicabili. SEE indica lo Spazio Economico Europeo. Titolare del trattamento, responsabile del trattamento, dato personale, trattamento, interessato, violazione dei dati personali e autorità di controllo hanno il significato attribuito loro dal GDPR.

Il presente DPA non disciplina il trattamento per il quale LensGo determina le proprie finalità, come l’amministrazione degli account, la fatturazione, gli obblighi legali e le attività di marketing. Tale trattamento è descritto nella Politica sulla privacy. Il ruolo di un fornitore dipende dal trattamento specifico; l’Allegato 3 distingue tali attività.

LensGo tratterà i Dati personali del Cliente esclusivamente su istruzioni documentate del Cliente, inclusi i trasferimenti internazionali, salvo che il diritto dell’Unione o degli Stati membri richieda diversamente. In tal caso, LensGo informerà il Cliente della prescrizione legale prima del trattamento, salvo che tale legge vieti la notifica per importanti motivi di interesse pubblico.

L’Accordo, il presente DPA, le impostazioni del servizio del Cliente e le richieste scritte documentano le istruzioni. L’Allegato 1 ne specifica l’oggetto, la durata, la natura e la finalità. Il Cliente determina la base giuridica, fornisce le notifiche richieste, ottiene le eventuali autorizzazioni necessarie e controlla chi può caricare, visualizzare e scaricare i contenuti degli eventi. Il Cliente può emettere ulteriori istruzioni legittime tramite il contatto indicato nella sezione 11.

LensGo informerà tempestivamente il Cliente qualora, a suo parere, un’istruzione violi il GDPR o altre disposizioni dell’Unione o degli Stati membri in materia di protezione dei dati. LensGo sospenderà l’istruzione interessata fino alla risoluzione della questione tra le parti; non sostituirà le proprie finalità a quelle del Cliente.

LensGo limiterà l’accesso ai Dati personali del Cliente alle persone autorizzate che necessitano di accedervi per fornire i Servizi. Tali persone saranno vincolate da impegni di riservatezza o da un obbligo legale di riservatezza appropriato e riceveranno istruzioni adeguate alle proprie responsabilità. Tali obblighi rimangono validi anche dopo la cessazione dell’accesso.

LensGo implementerà e manterrà misure tecniche e organizzative adeguate al rischio ai sensi dell’articolo 32 GDPR, tenendo conto dello stato dell’arte, dei costi di attuazione e della natura, dell’ambito, del contesto e delle finalità del trattamento. L’Allegato 2 specifica i controlli applicativi e gli obblighi operativi a supporto di tali misure.

Tenendo conto della natura del trattamento e delle informazioni in suo possesso, LensGo assisterà il Cliente nell’adempimento degli obblighi previsti dagli articoli 32–36 GDPR, inclusi sicurezza, valutazione delle violazioni e notifiche, valutazioni d’impatto sulla protezione dei dati e consultazione preventiva con le autorità di controllo. LensGo fornirà le informazioni rilevanti e collaborerà con l’autorità di controllo competente.

Il Cliente concede autorizzazione scritta generale all’utilizzo dei Sub-responsabili del trattamento elencati nell’Allegato 3 per il trattamento specificato. LensGo notificherà al Cliente tramite email almeno 30 giorni di calendario prima di aggiungere o sostituire un Sub-responsabile del trattamento, indicandone la funzione, le sedi di trattamento e le eventuali garanzie per i trasferimenti internazionali. L’aggiornamento della presente pagina web da solo non costituisce notifica.

Il Cliente potrà opporsi per validi motivi attinenti alla protezione dei dati contattando LensGo entro il periodo di preavviso. Le parti lavoreranno per risolvere l’obiezione, anche utilizzando un’alternativa o evitando il trattamento interessato. LensGo non consentirà l’accesso al fornitore proposto ai dati del Cliente che ha presentato l’obiezione finché l’obiezione non sarà risolta. Se non sarà possibile trovare una soluzione, il Cliente potrà recedere dai Servizi interessati prima che la modifica entri in vigore e richiedere la restituzione o la cancellazione ai sensi della sezione 9.

Prima di consentire l’accesso, LensGo stipulerà un contratto scritto che imponga gli stessi obblighi in materia di protezione dei dati previsti dal presente DPA, incluse garanzie sufficienti per misure tecniche e organizzative adeguate. LensGo rimane pienamente responsabile nei confronti del Cliente per l’adempimento degli obblighi da parte di ciascun Sub-responsabile del trattamento. Su richiesta, LensGo fornirà informazioni rilevanti sulla conformità e garanzie contrattuali, nel rispetto della necessaria tutela delle informazioni riservate.

Ciascuna parte del presente DPA si impegna a manlevare l'altra parte per danni o spese derivanti da una propria violazione colposa del presente DPA, compresa qualsiasi violazione colposa commessa dal proprio rappresentante legale, dai subappaltatori, dai dipendenti o da qualsiasi altro incaricato. Inoltre, ciascuna parte si impegna a manlevare l'altra parte da qualsiasi pretesa avanzata da terzi a causa o in relazione a qualsiasi violazione colposa da parte dell'altra parte.

Ciascuna parte è responsabile dell’adempimento dei propri obblighi ai sensi del presente DPA e della Normativa applicabile in materia di protezione dei dati. Nulla nel presente Accordo o nel DPA limita i diritti degli interessati, la responsabilità di ciascuna parte ai sensi dell’articolo 82 GDPR, i poteri delle autorità di controllo o la responsabilità di LensGo ai sensi della sezione 5.

Tenendo conto della natura del trattamento, LensGo assisterà il Cliente, mediante misure tecniche e organizzative appropriate, per quanto possibile, nel rispondere alle richieste ai sensi del Capitolo III GDPR. Ciò include l’aiuto a localizzare, esportare, rettificare, limitare o cancellare i Dati personali del Cliente rilevanti.

LensGo inoltrerà tempestivamente al Cliente le richieste relative ai Dati personali del Cliente e non risponderà autonomamente, salvo che ciò sia previsto da istruzioni documentate o richiesto dalla legge. Qualora sia consentito dalla legge, LensGo informerà il Cliente prima di rispondere in base a un obbligo legale.

LensGo notificherà al Cliente senza indebito ritardo dopo essere venuto a conoscenza di una violazione dei dati personali che riguardi i Dati personali del Cliente. La notifica descriverà la violazione, le categorie e il numero approssimativo di persone e registrazioni interessate, ove noto, le probabili conseguenze, le misure adottate o proposte e un contatto per ulteriori informazioni. Le informazioni incomplete saranno fornite in fasi successive senza indebito ulteriore ritardo.

LensGo indagherà, conterrà e porrà rimedio alla violazione, conserverà le prove rilevanti e collaborerà con la valutazione, la segnalazione e le comunicazioni del Cliente. Il Cliente deciderà sulle notifiche alle autorità di controllo e agli interessati, fatto salvo gli obblighi legali di LensGo.

Al termine dei Servizi che comportano il trattamento, LensGo, su scelta del Cliente, restituirà tutti i Dati personali del Cliente in un formato elettronico di uso comune e cancellerà le copie esistenti, oppure cancellerà tutti i Dati personali del Cliente e le relative copie. Il Cliente potrà comunicare la propria scelta tramite la sezione 11, anche prima della risoluzione del contratto. LensGo chiederà istruzioni qualora non sia stata comunicata alcuna scelta e non tratterà il silenzio come rinuncia al diritto alla restituzione.

LensGo completerà la restituzione o la cancellazione istruita entro 30 giorni lavorativi dalla fine dei Servizi o, se successivo, dal ricevimento della scelta del Cliente. Fino al completamento, proteggerà i dati ai sensi del presente DPA e li tratterà solo per quanto necessario per la restituzione, la cancellazione o la conservazione legalmente richiesta. Si impegnerà a ottenere la stessa azione da parte dei Sub-responsabili del trattamento e confermerà il completamento per iscritto su richiesta.

Tali obblighi riguardano originali, derivati, esportazioni e copie di backup. L’unica eccezione è rappresentata dal diritto dell’Unione o degli Stati membri che richieda la conservazione: LensGo identificherà la prescrizione legale e il periodo di conservazione al Cliente, salvo che ciò sia vietato, isolerà i dati conservati, limiterà il trattamento a tale obbligo e li cancellerà al termine del periodo richiesto. Le copie di backup non devono essere utilizzate per altre finalità; qualsiasi ripristino deve reimporre le istruzioni di cancellazione.

La memorizzazione nello SEE non esclude di per sé i trasferimenti internazionali tramite accesso di supporto, diagnostica o consegna dei contenuti. LensGo trasferirà i Dati personali del Cliente al di fuori dello SEE esclusivamente su istruzioni documentate e in conformità con il Capitolo V GDPR, inclusi eventuali trasferimenti successivi.

Prima di un trasferimento, LensGo si assicurerà che sia coperto da una decisione di adeguatezza applicabile o da garanzie appropriate ai sensi dell’articolo 46 GDPR. Qualora si basi sulle clausole contrattuali tipo della Commissione (UE) 2021/914, LensGo stipulerà il modulo applicabile con il destinatario effettivo, completerà gli allegati, valuterà le leggi e le prassi della destinazione e implementerà le misure integrative necessarie. Per un trasferimento da responsabile del trattamento a sub-responsabile del trattamento, si tratterà ordinariamente del Modulo Tre. LensGo fornirà informazioni sul meccanismo e sulle garanzie applicabili su richiesta e sospenderà i trasferimenti se non può essere garantita una protezione adeguata.

Il presente DPA è un accordo di trattamento ai sensi dell’articolo 28. Non incorpora un insieme di clausole contrattuali tipo per i trasferimenti internazionali tra il Cliente e LensGo semplicemente perché LensGo riceve dati nei Paesi Bassi. Le eventuali clausole contrattuali tipo richieste si applicano al rapporto di trasferimento effettivo; l’Allegato 3 di per sé non costituisce un meccanismo di trasferimento.

Inviare istruzioni, obiezioni, richieste di diritti e richieste di conformità a [email protected], indirizzate a Daan de Vos, Acosh / LensGo. LensGo invierà le comunicazioni contrattuali e le notifiche di violazione all’email dell’account registrato del Cliente o a un contatto privacy designato. Il Cliente manterrà aggiornati tali dettagli.

Le parti proteggeranno le informazioni riservate ottenute tramite il presente DPA. Tale obbligo non impedisce la condivisione del presente accordo o delle informazioni necessarie per la conformità con consulenti professionali, revisori, autorità di controllo o come richiesto dalla legge.

Il presente DPA è disciplinato dalla legge dei Paesi Bassi. Le controversie tra le parti saranno sottoposte ai tribunali competenti dei Paesi Bassi, fatto salvo il diritto cogente, i diritti degli interessati di adire le vie legali o i poteri delle autorità di controllo competenti.

LensGo metterà a disposizione tutte le informazioni necessarie per dimostrare la conformità con l’articolo 28 GDPR e il presente DPA, e consentirà e parteciperà ad audit, incluse ispezioni, condotti dal Cliente o da un revisore da esso incaricato.

Le parti coordineranno un preavviso ragionevole, la riservatezza e le misure per proteggere i dati di altri clienti. Documenti o relazioni indipendenti possono contribuire a soddisfare una richiesta, ma non sostituiranno il diritto a un audit qualora sia necessaria un’ulteriore verifica. Tali accordi non impediranno o ritarderanno irragionevolmente un audit, in particolare a seguito di un incidente o su richiesta di un’autorità di controllo. LensGo porrà rimedio alle carenze identificate senza indebito ritardo.

Parti e contatti: il Cliente identificato nell’Accordo e il suo contatto registrato o designato; responsabile del trattamento Acosh, operante con il marchio LensGo, Sweelinckplantsoen 40, 1323 MT Almere, Paesi Bassi, contatto Daan de Vos all’indirizzo [email protected]. I loro ruoli e responsabilità sono descritti nelle sezioni 1 e 2.

Oggetto e finalità: gestione di album di eventi e raccolta, organizzazione, condivisione, visualizzazione ed esportazione di foto, video e contenuti correlati degli eventi secondo le indicazioni del Cliente.

Natura e frequenza: raccolta e ricezione continua di caricamenti e contenuti, memorizzazione, recupero, conversione di formato e generazione di miniature, organizzazione, moderazione, visualizzazione, trasmissione, download, gestione degli accessi e cancellazione durante l’utilizzo dei Servizi.

Interessati: organizzatori e titolari di account, loro personale e collaboratori, ospiti e utenti che caricano, persone visibili o udibili nei media e altri partecipanti o persone identificate nei contenuti.

Dati personali: nomi e indirizzi email ove forniti; foto, volti, video e voci; didascalie, commenti e risposte ai moduli; nomi dei file e metadati dei file (inclusi data e ora di acquisizione e posizione se presenti); identificatori di eventi e di utenti che caricano; indirizzi IP, informazioni su browser/dispositivo, timestamp e registri di accesso o attività del servizio ove raccolti per fornire i Servizi.

Dati sensibili: i media e i contenuti in testo libero possono rivelare incidentalmente dati relativi alla salute, convinzioni religiose, opinioni politiche, orientamento sessuale o altri dati di categoria speciale, e possono includere minori. Il Cliente determina qualsiasi condizione applicabile ai sensi dell’articolo 9 e le ulteriori misure di sicurezza, limita la raccolta e l’accesso e emette istruzioni di cancellazione ove necessario. LensGo non utilizza i media degli eventi per l’identificazione biometrica.

Durata: per la durata dei Servizi e del periodo di conservazione previsto nell’Accordo, nel piano selezionato e nelle istruzioni documentate del Cliente, seguito da restituzione o cancellazione ai sensi della sezione 9. La conclusione di un evento o di un periodo di pagamento non implica di per sé che tutti i media siano già stati cancellati.

Controlli di accesso: account di organizzatori autenticati, password hashate, autenticazione a due fattori opzionale e controlli di autorizzazione per la gestione degli eventi. Le impostazioni degli eventi supportano password per gli album e la moderazione. Il Cliente controlla i link di condivisione e le autorizzazioni; i destinatari possono conservare le copie scaricate.

Sicurezze applicative: validazione dell’input, limitazione delle richieste su endpoint protetti, protezione CSRF per le modifiche dello stato del browser e accesso limitato ai media non pubblicati. Le modifiche all’applicazione sono soggette a test automatizzati delle operazioni rilevanti di autenticazione, autorizzazioni e media.

Obblighi operativi: LensGo limiterà le credenziali del personale e dei servizi in base alle necessità, manterrà impegni di riservatezza, revisionerà gli accessi e li rimuoverà quando non più necessari. Mantenrà trasporti sicuri, aggiornamenti tempestivi in materia di sicurezza e gestione degli incidenti ai sensi delle sezioni 3, 4 e 8.

Disponibilità e ripristino: LensGo manterrà accordi di ripristino adeguati alla valutazione del rischio ai sensi dell’articolo 32, valuterà e testerà regolarmente le misure di sicurezza e di ripristino e applicherà le istruzioni di conservazione e cancellazione alle copie di backup. Le informazioni sulla portata attuale dei backup, sulle sedi, sulla conservazione e sulle procedure di ripristino saranno rese disponibili ai sensi della sezione 13.

Portata delle garanzie: la memorizzazione dei media nell’UE è distinta dalla consegna e da altri trattamenti. Il presente allegato non rivendica crittografia end-to-end, crittografia universale a riposo, certificazione indipendente o un particolare tempo di ripristino. LensGo fornirà su richiesta, ai sensi della sezione 13, le prove attuali sull’infrastruttura e sulla sicurezza e non ridurrà in modo significativo la protezione richiesta dal presente DPA.

I seguenti fornitori trattano i Dati personali del Cliente nell’ambito della fornitura delle parti indicate dei Servizi. Le modifiche sono soggette alla sezione 5 e i trasferimenti alla sezione 10. La sede di un fornitore non garantisce che tutto il trattamento avvenga esclusivamente in tale sede.

Hetzner — hosting dell’applicazione e infrastruttura di database in Germania; registri degli eventi, identificatori degli account e dati trattati dall’applicazione.

Bunny.net (Bunny Edge Storage) — memorizzazione e consegna di foto, video, derivati e archivi scaricabili caricati; nomi dei file, metadati e dati delle richieste di consegna associati. La memorizzazione dei media è nell’Unione Europea; la consegna e l’accesso remoto sono anch’essi soggetti alla sezione 10.

Scaleway Transactional Email — consegna transazionale in Francia; indirizzi dei destinatari e contenuti delle notifiche di servizio o degli eventi.

Cloudflare — proxy inverso, consegna dei contenuti e protezione del traffico; indirizzi IP delle richieste, intestazioni e contenuti che transitano attraverso il servizio. Fornitore statunitense con una rete globale; il trattamento internazionale è soggetto alla sezione 10.

Bugsink – Utilizzato per il monitoraggio degli errori; le segnalazioni di errore possono contenere dati tecnici come indirizzi IP, identificativi utente e dettagli della richiesta (EU - FI/DE).

Crisp — supporto in cui il Cliente fornisce dati di eventi o ospiti per assistenza; dettagli di contatto, messaggi e allegati forniti. Fornitore francese.

Tali attività sono al di fuori delle istruzioni di trattamento del Cliente e sono disciplinate dalla Politica sulla privacy e dai termini applicabili dei fornitori. Non tutti i fornitori elencati sono Sub-responsabili del trattamento ai sensi del presente DPA; i fornitori possono agire per LensGo come titolare del trattamento o come titolari indipendenti per attività specifiche.

Mollie: pagamenti, abbonamenti e fatturazione. Google Sign-In e Sign in with Apple: autenticazione facoltativa degli account. Google Ads: pubblicità e misurazione delle conversioni di LensGo. Crisp: supporto commerciale e agli account di LensGo.

Qualora uno di questi fornitori debba trattare i Dati personali del Cliente per conto del Cliente oltre le attività sopra elencate, LensGo si atterrà alle sezioni 5 e 10. I media degli eventi non sono autorizzati per la pubblicità di LensGo ai sensi del presente DPA.