Accordo sul trattamento dei dati personali

§ 1. Parti e oggetto

1. Il titolare del trattamento è il Cliente. Il responsabile del trattamento è VERTOM AI sp. z o.o., ul. Żurawia 45, 00-680 Warszawa, KRS 0001248500 (di seguito: «Responsabile del trattamento»).

2. L'oggetto dell'accordo è il trattamento da parte del Responsabile del trattamento, per conto del Cliente, dei dati personali degli Autori nella misura necessaria alla fornitura del Servizio: lettura dei Post pubblici nelle Fonti indicate, valutazione degli stessi, conservazione dei Lead e invio di notifiche.

3. L'accordo resta in vigore per la durata del contratto di utilizzo del Servizio e fino alla cancellazione dei dati ai sensi del § 9.

§ 2. Natura, finalità, tipo di dati e categorie di interessati

1. Natura del trattamento: raccolta automatizzata, registrazione, organizzazione, conservazione, analisi dei contenuti, messa a disposizione del Cliente e cancellazione.

2. Finalità: identificazione di Post pubblici nei quali l'Autore esprime la necessità di un prodotto o servizio del Cliente, al fine di consentire al Cliente di stabilire un contatto.

3. Tipo di dati: nome e cognome o nome del profilo dell'Autore, link al profilo, se pubblico, contenuto del Post, data di pubblicazione, indirizzo della Fonte, contatori pubblici di reazioni e commenti, risultato della valutazione del Post con la motivazione generata dal Servizio, stato del Lead assegnato dal Cliente.

4. Categorie di interessati: Autori di Post pubblici nelle Fonti indicate dal Cliente.

5. Il Responsabile del trattamento non tratta intenzionalmente, per conto del Cliente, dati appartenenti a categorie particolari. Il Cliente si impegna a non indicare Fonti il cui argomento riveli tali dati (Regolamento § 7 comma 3). Qualora tuttavia un Post contenga tali dati, essi sono trattati esclusivamente come elemento del contenuto del Post, senza analisi separata, e sono soggetti allo stesso periodo di cancellazione degli altri dati.

§ 3. Istruzioni del Cliente

1. Il Responsabile del trattamento tratta i dati esclusivamente su istruzione documentata del Cliente. Costituiscono istruzioni: il presente accordo, il Regolamento e le impostazioni inserite dal Cliente nel pannello — elenco delle Fonti, calendario delle Scansioni, criteri di valutazione, canali di notifica, Piano e relativo periodo di conservazione.

2. Qualora il Responsabile del trattamento ritenga che un'istruzione violi il GDPR o altre disposizioni in materia di protezione dei dati, ne informa immediatamente il Cliente e può sospenderne l'esecuzione fino al chiarimento.

3. Il Responsabile del trattamento non trasferisce dati verso un paese terzo o un'organizzazione internazionale se non alle condizioni di cui al § 7, salvo che un obbligo in tal senso gli sia imposto dal diritto dell'Unione o dello Stato membro; in tal caso informa il Cliente prima dell'inizio del trattamento, salvo che il diritto lo vieti.

§ 4. Obblighi del Responsabile del trattamento

1. Garantisce che le persone autorizzate al trattamento dei dati si siano impegnate alla riservatezza e che l'accesso ai dati degli Autori sia limitato alle sole persone per le quali è necessario; ogni lettura dei dati degli Autori da parte di un operatore del Servizio al di fuori del normale funzionamento del Servizio è registrata nel registro di audit.

2. Attua misure tecniche e organizzative adeguate al rischio, in particolare: cifratura delle connessioni, cifratura a riposo dei segreti di integrazione, isolamento dei dati di ciascuna Organizzazione mediante identificatori non prevedibili, autenticazione a due fattori per gli account degli operatori, limitazione del numero di tentativi di accesso, cancellazione automatica dei dati alla scadenza del periodo di conservazione, copie di backup nello Spazio economico europeo e rimozione dei dati identificativi dal contenuto trasmesso al modello linguistico prima del relativo invio.

3. Assiste il Cliente nell'adempimento dell'obbligo di rispondere alle richieste degli interessati. La richiesta di un Autore rivolta al Responsabile del trattamento è gestita centralmente (§ 8) e il Cliente ne viene informato. Il Responsabile del trattamento esegue, su istruzione del Cliente, una richiesta rivolta al Cliente entro 7 giorni.

4. Assiste il Cliente nell'adempimento degli obblighi di cui agli artt. 32–36 GDPR, mettendo a disposizione, tra l'altro, le informazioni necessarie alla valutazione d'impatto sulla protezione dei dati, tenendo conto della natura del trattamento e delle informazioni a sua disposizione.

5. In caso di violazione dei dati personali riguardante i dati degli Autori, informa il Cliente senza ingiustificato ritardo, e comunque entro 48 ore dall'accertamento della violazione, indicando le circostanze note, le categorie e il numero approssimativo di persone interessate nonché le misure adottate. Completa le informazioni progressivamente.

6. Mette a disposizione del Cliente le informazioni necessarie per dimostrare il rispetto degli obblighi di cui all'art. 28 GDPR e consente audit alle condizioni di cui al § 6.

§ 5. Subaffidamento

1. Il Cliente fornisce un'autorizzazione generale al Responsabile del trattamento a ricorrere a ulteriori responsabili del trattamento elencati all'indirizzo useleadscanner.com/legal/subprocessors, nell'ambito ivi descritto.

2. Il Responsabile del trattamento informa il Cliente via e-mail dell'intenzione di aggiungere o modificare un ulteriore responsabile del trattamento con almeno 30 giorni di preavviso. Il Cliente può, entro tale termine, sollevare opposizione indicando motivi giustificati relativi alla protezione dei dati. Qualora le parti non raggiungano un accordo, il Cliente può risolvere il contratto di utilizzo del Servizio con efficacia dalla data di attuazione della modifica e il corrispettivo per il periodo non utilizzato è rimborsato proporzionalmente.

3. Il Responsabile del trattamento impone contrattualmente a ciascun ulteriore responsabile del trattamento gli stessi obblighi di protezione dei dati a cui è soggetto e risponde nei confronti del Cliente dell'adempimento di tali obblighi da parte di tale soggetto.

§ 6. Audit

1. Il Cliente può verificare l'esecuzione del contratto richiedendo informazioni e documenti, compresi i risultati degli audit e i certificati degli ulteriori responsabili del trattamento. Il Responsabile del trattamento risponde entro 14 giorni.

2. Qualora le informazioni di cui al comma 1 non siano sufficienti, il Cliente può effettuare un audit, direttamente o tramite un revisore vincolato alla riservatezza, non più di una volta all'anno, salvo che si sia verificata una violazione dei dati personali, con un preavviso di almeno 14 giorni, durante l'orario di lavoro e con modalità che non interferiscano con il funzionamento del Servizio né violino la riservatezza dei dati di altri clienti. I costi dell'audit sono a carico del Cliente, salvo che l'audit accerti una violazione sostanziale del contratto.

§ 7. Trasferimento di dati al di fuori del SEE

1. I dati degli Autori sono conservati su server nello Spazio economico europeo.

2. Il trasferimento al di fuori del SEE avviene esclusivamente verso ulteriori responsabili del trattamento indicati nell'elenco di cui al § 5 comma 1, sulla base di una decisione della Commissione europea relativa a un livello di protezione adeguato (anche nell'ambito dell'EU-U.S. Data Privacy Framework) e, in sua assenza o in caso di annullamento, sulla base delle clausole contrattuali tipo adottate dalla Commissione, integrate da una valutazione d'impatto del trasferimento.

3. Il fornitore del modello linguistico utilizzato nella modalità IA è OpenAI Ireland Ltd (SEE), sulla base dell'accordo sul trattamento dei dati di OpenAI. Le richieste al modello sono trattate sui server di OpenAI negli Stati Uniti; il trasferimento si basa sulle clausole contrattuali tipo incorporate in tale accordo. Il contenuto trasmesso tramite API non viene utilizzato per addestrare i modelli. Il contenuto del Post trasmesso al modello viene preventivamente privato di nomi e cognomi, indirizzi e-mail, numeri di telefono e link ai profili.

§ 8. Opposizione dell'Autore e lista di esclusione

1. L'Autore che si oppone al trattamento o richiede la cancellazione dei dati può rivolgersi direttamente al Responsabile del trattamento all'indirizzo [email protected]. Il Responsabile del trattamento cancella quindi i dati dell'Autore da tutte le Organizzazioni, compresa l'Organizzazione del Cliente, e registra un hash irreversibile dell'identificatore dell'Autore nella lista di esclusione, grazie alla quale le successive scansioni ignorano i suoi Post.

2. Il Cliente prende atto che l'opposizione dell'Autore viene attuata senza un consenso separato del Cliente e che, a causa del carattere locale dell'identificatore, non è sempre possibile informare il Cliente la cui Organizzazione ne era interessata; ove possibile, il Responsabile del trattamento informa il Cliente della cancellazione.

3. La lista di esclusione è l'unico archivio di dati degli Autori che il Responsabile del trattamento gestisce in nome proprio, in qualità di titolare del trattamento, ai sensi dell'art. 6, par. 1, lett. c GDPR (obbligo di dare attuazione ai diritti degli interessati) e dell'art. 6, par. 1, lett. f GDPR (legittimo interesse all'efficace esecuzione dell'opposizione). La lista contiene esclusivamente hash dai quali non è possibile ricostruire i dati dell'Autore ed è conservata a tempo indeterminato, poiché la sua cancellazione comporterebbe una nuova raccolta dei dati di una persona che non lo desidera.

§ 9. Cessazione del trattamento

1. I dati degli Autori vengono cancellati automaticamente allo scadere del periodo di conservazione previsto dal Piano (§ 5, comma 6 dei Termini di servizio), mentre i Post che non sono stati valutati come lead vengono cancellati con le stesse modalità e non oltre i lead.

2. Alla cessazione del contratto di utilizzo del Servizio, decorso il periodo di tolleranza di 30 giorni, il Responsabile del trattamento cancella tutti i dati degli Autori trattati per conto del Cliente, comprese le relative copie, ad eccezione della lista di esclusione (§ 8) e dei dati la cui conservazione è richiesta dal diritto dell'Unione o di uno Stato membro.

3. Prima della cessazione del contratto, il Cliente può scaricare dal pannello una copia dei lead in formato aperto; questa è la modalità di restituzione dei dati di cui all'art. 28, par. 3, lett. g GDPR.

§ 10. Disposizioni finali

1. Ciascuna parte risponde dei danni causati dal trattamento, nei limiti previsti dall'art. 82 GDPR. Nei confronti del Cliente che non sia un Cliente privilegiato si applica la limitazione di responsabilità di cui al § 10 dei Termini di servizio, purché ciò non sia contrario a disposizioni imperative.

2. Per quanto non disciplinato si applicano i Termini di servizio e il GDPR. La modifica del contratto avviene secondo la procedura di modifica dei Termini di servizio.

3. Il contratto è redatto in lingua polacca e inglese; in caso di discrepanze, fa fede la versione polacca. È in vigore dal 2 settembre 2026.