Accordo tra contitolari

§ 1. Parti e oggetto

1. I contitolari del trattamento dei dati degli Autori sono: VERTOM AI sp. z o.o., ul. Żurawia 45, 00-680 Warszawa, KRS 0001248500 (di seguito: «VERTOM») e il Cliente.

2. La contitolarità del trattamento comprende la lettura dei Wpis pubblici nelle Źródła indicate, la loro valutazione, la predisposizione della Szkic odpowiedzi, la conservazione dei Lead e l’invio di notifiche.

3. La contitolarità del trattamento non comprende ciò che il Cliente fa con il Lead dopo averlo ricevuto: il contatto con l’Autore, la registrazione dei dati nei propri sistemi e l’ulteriore corrispondenza. In tale ambito, il Cliente è un controller autonomo e ne risponde autonomamente.

4. Il presente accordo è valido per la durata del contratto di utilizzo del Serwis e fino alla cancellazione dei dati ai sensi del § 9.

§ 2. Natura, finalità, tipo di dati e categorie di interessati

1. Natura del trattamento: raccolta automatizzata, registrazione, organizzazione, conservazione, analisi del contenuto, messa a disposizione del Cliente e cancellazione.

2. Finalità: identificazione dei Wpis pubblici nei quali l’Autore esprime un’esigenza relativa a un prodotto o servizio del Cliente, al fine di consentire al Cliente di instaurare un contatto.

3. Tipo di dati: nome e cognome oppure nome del profilo dell’Autore, link al profilo, se pubblico, contenuto del Wpis, data di pubblicazione, indirizzo della Źródło, contatori pubblici di reazioni e commenti, risultato della valutazione del Wpis con la motivazione generata dal Serwis, contenuto della Szkic odpowiedzi e stato del Lead attribuito dal Cliente.

4. Categorie di interessati: Autori di Wpis pubblici nelle Źródła indicate dal Cliente, sui servizi Facebook, Reddit e X.

5. Non trattiamo intenzionalmente dati appartenenti a categorie particolari. L’elenco delle Źródła vietate è stabilito da VERTOM (Regolamento § 7, par. 3) e si applica indipendentemente dalla volontà del Cliente. Se tuttavia un Wpis contiene tali dati, essi sono trattati esclusivamente come elemento del contenuto del Wpis, senza analisi separata, e sono soggetti allo stesso periodo di cancellazione degli altri dati.

§ 3. Ripartizione degli obblighi (art. 26, par. 1 GDPR)

1. VERTOM stabilisce ed esegue: la modalità di lettura dei Wpis, l’ambito dei campi registrati, il periodo di conservazione, il modello utilizzato per la valutazione, la rimozione dei dati identificativi dal contenuto trasmesso al modello, l’elenco delle Źródła vietate e le misure tecniche e organizzative (§ 4).

2. Il Cliente stabilisce ed esegue: l’elenco delle Źródła, i criteri di valutazione, il calendario delle Skan, i canali di notifica nonché la finalità e il modo di utilizzo del Lead dopo il suo ricevimento.

3. L’obbligo di informazione nei confronti degli Autori (art. 14 GDPR) è adempiuto da VERTOM. L’informativa è pubblicata all’indirizzo useleadscanner.com/legal/notice-for-authors, in ogni lingua in cui il Serwis è disponibile. Il Cliente indica tale indirizzo all’Autore che gli chieda la fonte dei propri dati.

4. Il punto di contatto per gli Autori ai sensi dell’art. 26, par. 1, terza frase, GDPR è VERTOM: [email protected]. VERTOM riceve ed evade le richieste degli Autori (§ 8) anche quando riguardano dati nell’Organizzazione del Cliente. Il Cliente che riceve direttamente una richiesta la trasmette senza indugio a tale indirizzo.

5. Indipendentemente dalla ripartizione di cui sopra, l’Autore può esercitare i diritti che gli spettano nei confronti di ciascuno dei contitolari del trattamento (art. 26, par. 3 GDPR), e ciascuno di essi risponde nei confronti dell’Autore secondo le disposizioni dell’art. 82 GDPR.

6. Se VERTOM ritiene che un’impostazione introdotta dal Cliente violi le disposizioni in materia di protezione dei dati, ne informa il Cliente e può sospendere le Skan fino al chiarimento.

§ 4. Misure e obblighi di VERTOM

1. VERTOM garantisce che le persone autorizzate al trattamento dei dati si sono impegnate alla riservatezza e che hanno accesso ai dati degli Autori esclusivamente le persone per le quali ciò è necessario; ogni lettura dei dati degli Autori da parte dell’operatore del Serwis al di fuori del normale funzionamento del Serwis è registrata nel registro di audit.

2. Attua misure tecniche e organizzative adeguate al rischio, in particolare: cifratura delle connessioni, cifratura a riposo dei segreti di integrazione, isolamento dei dati di ogni Organizzazione mediante identificatori imprevedibili, autenticazione a due fattori per gli account degli operatori, limitazione del numero di tentativi di accesso, cancellazione automatica dei dati allo scadere del periodo di conservazione, copie di backup nello Spazio economico europeo nonché rimozione dei dati identificativi dal contenuto trasmesso al modello linguistico prima del suo invio.

3. Gestisce centralmente le richieste degli Autori (§ 8) e ne informa il Cliente, quando possibile. VERTOM evade una richiesta indirizzata al Cliente entro 7 giorni dalla sua trasmissione.

4. Mette a disposizione del Cliente le informazioni necessarie per dimostrare l’adempimento degli obblighi di cui agli artt. 26 e 32–36 GDPR, nella misura in cui riguardano la parte del trattamento svolta da VERTOM.

5. In caso di violazione dei dati personali che riguardi i dati degli Autori, informa il Cliente senza ingiustificato ritardo, entro e non oltre 48 ore dall’accertamento della violazione, indicando le circostanze a lui note, le categorie e il numero approssimativo di interessati nonché le misure adottate. Le notifiche all’autorità di controllo nell’ambito del trattamento di cui al § 3, par. 1, sono effettuate da VERTOM.

6. Consente al Cliente di verificare l’esecuzione del presente accordo secondo le modalità di cui al § 6.

§ 5. Responsabili del trattamento e fonti dei dati

1. VERTOM si avvale dei responsabili del trattamento elencati nella lista disponibile all’indirizzo useleadscanner.com/legal/subprocessors, nell’ambito ivi descritto. Il Cliente presta a ciò un consenso generale.

2. La stessa lista indica le fonti dei dati: soggetti che rendono disponibili contenuti pubblici dei servizi Reddit e X. Essi non agiscono su nostro incarico — stabiliscono autonomamente in che modo raccolgono tali contenuti e, con riferimento ai dati degli Autori, operano quali controller indipendenti. Non sono responsabili del trattamento e non stipuliamo con essi contratti di trattamento ai sensi dell’art. 28 GDPR; li indichiamo poiché i dati degli Autori provengono da essi e il Cliente ha il diritto di sapere da dove provengono.

3. VERTOM informa il Cliente via e-mail dell’intenzione di aggiungere o modificare un responsabile del trattamento o una fonte di dati almeno 30 giorni prima. Il Cliente può presentare opposizione entro tale termine, indicando motivate ragioni concernenti la protezione dei dati. Qualora le parti non raggiungano un accordo, il Cliente può risolvere il contratto di utilizzo del Serwis con effetto alla data di introduzione della modifica e il corrispettivo per il periodo non utilizzato viene rimborsato proporzionalmente.

4. VERTOM impone contrattualmente a ciascun responsabile del trattamento gli stessi obblighi in materia di protezione dei dati che gravano su di essa e risponde nei confronti del Cliente dell’adempimento di tali obblighi da parte di tale soggetto.

§ 6. Verifica e audit

1. Il Cliente può verificare l’esecuzione del presente accordo richiedendo informazioni e documenti, compresi i risultati degli audit e i certificati dei responsabili del trattamento. VERTOM risponde entro 14 giorni.

2. Se le informazioni di cui al par. 1 non sono sufficienti, il Cliente può effettuare un audit, autonomamente o tramite un revisore vincolato alla riservatezza, non più di una volta all’anno, salvo che si sia verificata una violazione dei dati personali, con un preavviso di almeno 14 giorni, durante l’orario di lavoro e secondo modalità che non perturbino il funzionamento del Serwis né violino la riservatezza dei dati di altri clienti. I costi dell’audit sono a carico del Cliente, salvo che l’audit dimostri una violazione sostanziale dell’accordo.

§ 7. Trasferimento dei dati al di fuori del SEE

1. I dati degli Autori sono conservati su server nello Spazio economico europeo.

2. Il trasferimento di dati al di fuori del SEE avviene esclusivamente verso i responsabili del trattamento indicati nell'elenco di cui al § 5, comma 1, sulla base di una decisione della Commissione europea relativa a un livello di protezione adeguato (anche nell'ambito dell'EU-U.S. Data Privacy Framework) e, in mancanza di tale decisione o in caso di suo annullamento, sulla base delle clausole contrattuali tipo adottate dalla Commissione, integrate da una valutazione d'impatto del trasferimento.

3. Il fornitore del modello linguistico utilizzato nella Modalità AI è OpenAI Ireland Ltd (SEE), sulla base dell'accordo di nomina a responsabile del trattamento di OpenAI. Le richieste al modello sono trattate sui server di OpenAI negli Stati Uniti; il fondamento di tale trasferimento sono le clausole contrattuali tipo incorporate in tale accordo. Il contenuto trasmesso tramite API non viene utilizzato per addestrare i modelli. Il contenuto del Post trasmesso al modello viene previamente privato di nomi e cognomi, indirizzi e-mail, numeri di telefono e collegamenti a profili.

4. Il fornitore dell'accesso ai contenuti pubblici dei servizi Reddit e X ha sede al di fuori del SEE, ma la direzione del flusso è qui opposta a quella di cui ai commi 2 e 3. Non gli comunichiamo dati degli Autori: inviamo il nome della Fonte e la frase di ricerca e riceviamo contenuti pubblici insieme ai dati dei loro Autori. La ricezione di dati da una fonte al di fuori del SEE costituisce una raccolta di dati, non un trasferimento ai sensi del capo V del GDPR, ed è soggetta alle stesse regole di qualsiasi altra raccolta descritta nel presente accordo tra contitolari.

5. Un flusso va tuttavia verso l'esterno e può identificare una persona: quando la Fonte è un determinato account pubblico sul servizio X, il suo nome esce dal SEE. Il nome è pubblico, lo inviamo esclusivamente per leggere i post pubblici di tale account e non lo colleghiamo ad alcun altro dato. La qualificazione giuridica di questo singolo flusso è oggetto di consulenza legale; ne inseriremo l'esito in questo punto. Al di fuori di esso, i dati personali non possono uscire dal SEE per questa via; pertanto il Regolamento, § 7, comma 2, lettera e), vieta al Cliente di utilizzare dati personali come frase di ricerca.

6. La valutazione della liceità della Fonte ai sensi del Parere del CEPD 28/2024 per entrambe queste fonti è in fase di elaborazione. Fino alla sua predisposizione, le utilizziamo, accettando consapevolmente il rischio descritto nel § 5, comma 2, e nel presente comma; metteremo tale valutazione a disposizione del Cliente su richiesta, quando sarà pronta.

§ 8. Opposizione dell’Autore e lista di esclusione

1. L’Autore che si opponga al trattamento o richieda la cancellazione dei dati può rivolgersi a VERTOM all’indirizzo [email protected] — quale punto di contatto dei contitolari del trattamento (§ 3, par. 4) — oppure direttamente al Cliente. VERTOM cancella quindi i dati dell’Autore da tutte le Organizzazioni, compresa l’Organizzazione del Cliente, e registra un hash irreversibile dell’identificatore dell’Autore nella lista di esclusione, grazie alla quale le successive Skan ignorano i suoi Wpis.

2. Il Cliente prende atto che l’opposizione dell’Autore viene gestita senza il consenso separato del Cliente e che, a causa della natura locale dell’identificatore, non è sempre possibile stabilire a quale Organizzazione si riferisse; quando possibile, VERTOM informa il Cliente della cancellazione.

3. La lista di esclusione è un insieme che VERTOM gestisce autonomamente in qualità di controller, ai sensi dell’art. 6, par. 1, lett. c GDPR (obbligo di dare seguito ai diritti degli interessati) e dell’art. 6, par. 1, lett. f GDPR (legittimo interesse all’efficace esecuzione dell’opposizione). La lista contiene esclusivamente hash dai quali non è possibile ricostruire i dati dell’Autore ed è conservata a tempo indeterminato, poiché la sua cancellazione comporterebbe una nuova raccolta dei dati di una persona che non lo desidera.

§ 9. Cessazione del trattamento

1. I dati degli Autori sono cancellati automaticamente allo scadere del periodo di conservazione risultante dal Piano (Regolamento § 5, par. 6), e i Wpis che non sono stati valutati come Lead — secondo la stessa modalità e non oltre i Lead.

2. Alla cessazione del contratto di utilizzo del Serwis, allo scadere di un periodo di attesa di 30 giorni, VERTOM cancella tutti i dati degli Autori trattati in relazione all’Organizzazione del Cliente, incluse le loro copie, ad eccezione della lista di esclusione (§ 8) e dei dati la cui conservazione è richiesta dal diritto dell’Unione o di uno Stato membro.

3. Prima della cessazione del contratto, il Cliente può scaricare dal pannello una copia dei Lead in formato aperto. Dal momento del download, il Cliente è un controller autonomo con riferimento a tale copia e stabilisce autonomamente il suo periodo di conservazione.

§ 10. Disposizioni finali

1. Ciascun contitolare del trattamento risponde nei confronti dell’Autore dei danni causati dal trattamento secondo le disposizioni dell’art. 82 GDPR; l’Autore può far valere la propria pretesa nei confronti di ciascuno di essi. I rapporti di regolazione tra le parti a tale titolo avvengono secondo la ripartizione degli obblighi di cui al § 3. Nei confronti del Cliente che non sia un Cliente privilegiato si applica la limitazione di responsabilità di cui al § 10 del Regolamento, purché ciò non sia contrario a disposizioni imperative.

2. Per le questioni non disciplinate si applicano il Regolamento e il GDPR. La modifica dell’accordo avviene secondo la procedura di modifica del Regolamento.

3. Il presente accordo è redatto in sette lingue; in caso di divergenze, fa fede la versione polacca. Si applica dal 7 settembre 2026. Ha sostituito il Contratto di trattamento dei dati personali del 2 settembre 2026, che si basava sull’errato presupposto che il controller dei dati degli Autori fosse esclusivamente il Cliente.