Accordo sul trattamento dei dati

1. Ruoli

Per i Dati del cliente definiti alla sezione 4, il Cliente è il titolare del trattamento e StarPresence è il responsabile del trattamento. StarPresence tratta i Dati del cliente solo su istruzione documentata del Cliente e mai per finalità proprie.

Per i dati dell'account del Cliente (dati di registrazione e di contatto, dati di fatturazione e di pagamento, dati di utilizzo e corrispondenza con l'assistenza), il titolare del trattamento è Marlin Group LLC, come descritto nell'informativa sulla privacy. Tali dati non sono soggetti al presente DPA.

2. Oggetto, natura e finalità del trattamento

Oggetto del trattamento sono l'importazione di recensioni, commenti e menzioni dagli account che il Cliente collega, la redazione di risposte e post con i responsabili di IA indicati alla sezione 9, la pubblicazione di tali contenuti su istruzione del Cliente e le statistiche che StarPresence mostra al Cliente su tali contenuti. La finalità è fornire la Piattaforma al Cliente come descritto nelle condizioni generali.

Sono esclusi dal trattamento su istruzione: (a) le statistiche aggregate o anonimizzate prive di riferimento a persone e (b) i dati di sicurezza, di prevenzione degli abusi e di registrazione necessari al funzionamento della Piattaforma.

3. Durata

Il trattamento ha luogo per la durata delle condizioni generali e termina quando il Cliente scollega l'account interessato, disdice l'abbonamento o cancella l'account, fatte salve le disposizioni sulla cancellazione e restituzione della sezione 12.

4. Categorie di interessati e di dati

Gli interessati sono gli autori di recensioni, commenti e menzioni sugli account che il Cliente collega (i clienti del Cliente e altri membri del pubblico) nonché, per le risposte, i post e i dati di profilo del Cliente stesso, il Cliente e le persone che agiscono per suo conto.

I dati trattati (i «Dati del cliente») sono: il nome visualizzato o l'identificativo pubblico e l'immagine del profilo dell'autore, il testo della recensione, del commento o della menzione, la valutazione, la data e gli identificativi di piattaforma di tale contenuto; le risposte, i post e i dati di profilo del Cliente.

Le categorie particolari di dati personali non sono oggetto del presente DPA; il Cliente si astiene dall'introdurne mediante istruzione.

5. Istruzioni del Cliente

Le istruzioni documentate del Cliente sono le condizioni generali, il presente DPA, il consenso che il Cliente dà al momento del collegamento di un account, le impostazioni che il Cliente definisce nella Piattaforma (in particolare le impostazioni di pubblicazione automatica e le regole di approvazione per valutazione) e le approvazioni singole del Cliente. StarPresence tratta i Dati del cliente solo su tali istruzioni, anche per quanto riguarda i trasferimenti verso paesi terzi, salvo che un obbligo di legge richieda diversamente; in tal caso StarPresence informa il Cliente prima del trattamento, a meno che la legge lo vieti.

Se un'istruzione appare a StarPresence in violazione del GDPR, della LPD o di altra normativa sulla protezione dei dati, StarPresence ne informa il Cliente senza ingiustificato ritardo.

6. Obblighi del Cliente

Il Cliente garantisce che esista una valida base giuridica per il trattamento che ordina, che le sue istruzioni siano lecite, che sia autorizzato a collegare gli account che collega e che gli interessati siano informati nella misura richiesta. Il Cliente resta responsabile della liceità del trattamento che ordina e dei contenuti che approva o pubblica automaticamente.

7. Riservatezza

StarPresence vincola alla riservatezza ogni persona autorizzata a trattare i Dati del cliente, nella misura in cui non sia già soggetta a un adeguato obbligo legale di riservatezza.

8. Sicurezza del trattamento e separazione dei clienti

StarPresence adotta misure tecniche e organizzative adeguate ai sensi dell'articolo 32 del GDPR e della LPD, in particolare: cifratura in transito e a riposo; controllo degli accessi secondo il principio della necessità di sapere; disponibilità, resilienza, backup regolare e capacità di ripristino; registrazione e monitoraggio; separazione degli ambienti; sviluppo sicuro; e verifica periodica dell'efficacia di tali misure.

StarPresence mantiene i Dati del cliente di ciascun cliente logicamente separati dai dati di ogni altro cliente. StarPresence non aggrega, non unisce, non condivide e non incrocia i Dati del cliente del Cliente con i dati di un altro cliente, e non li utilizza per fornire la Piattaforma a un altro cliente.

9. Sub-responsabili e delega dell'infrastruttura

9.1 Nomina di sub-responsabili. Il Cliente concede a StarPresence un'autorizzazione scritta generale a ricorrere a sub-responsabili a valle per svolgere, per conto del Cliente, l'hosting, lo sviluppo tecnico, la manutenzione e le operazioni di trattamento automatizzato dei dati.

9.2 Mappatura dell'infrastruttura. Il Cliente prende atto e autorizza che il software, il suo codice sorgente e gli ambienti cloud in cui operano la Piattaforma, le sue pipeline di dati e le sue banche dati sono detenuti, gestiti e mantenuti dalla società madre e sub-responsabile a valle di StarPresence:

• Denominazione: Marlin Group LLC
• Giurisdizione: Sharjah Media City (SHAMS), Sharjah, UAE
• Funzione operativa: fornitore dell'infrastruttura tecnologica centrale e gestione delle banche dati

Attraverso tale infrastruttura la Piattaforma si avvale dei seguenti ulteriori sub-responsabili: fornitori di hosting che gestiscono la Piattaforma e conservano i Dati del cliente in centri dati nell'UE; un servizio di invio e-mail che trasmette le notifiche al Cliente; e OpenAI e Anthropic (Stati Uniti) quali responsabili di IA che redigono risposte e post a partire dai Dati del cliente.

OpenAI e Anthropic non utilizzano i nostri input API né i nostri output API per addestrare i propri modelli. Conservano tali input e output per un periodo limitato al fine di fornire il servizio e di monitorare abusi e usi impropri. OpenAI conserva gli input e gli output API fino a 30 giorni, salvo che una conservazione più lunga sia richiesta dalla legge o sia ragionevolmente necessaria per proteggere i propri servizi o terzi da un danno; la pagina sulla privacy enterprise di OpenAI afferma inoltre che dopo 30 giorni tali input e output vengono rimossi, salvo che la legge non ne richieda la conservazione. Anthropic elimina automaticamente gli input e gli output API entro 30 giorni dalla ricezione o dalla generazione, salvo quando viene utilizzato un servizio con conservazione più lunga sotto il controllo del cliente, le parti hanno convenuto diversamente, la conservazione è necessaria per far valere la Usage Policy (fino a 2 anni per gli input e gli output segnalati, e fino a 7 anni per i punteggi di classificazione relativi a fiducia e sicurezza) o la legge lo richiede.

Le piattaforme di terzi di cui il Cliente collega gli account (ad esempio Google) agiscono secondo le proprie condizioni come titolari autonomi del trattamento e non sono sub-responsabili di StarPresence. L'elaborazione dei pagamenti non riguarda i Dati del cliente; il fornitore di servizi di pagamento agisce al riguardo come titolare autonomo del trattamento.

9.3 Conformità contrattuale. StarPresence ha stipulato con Marlin Group LLC un accordo infragruppo scritto sul trattamento dei dati che impone obblighi di protezione dei dati non meno rigorosi di quelli imposti a StarPresence dal presente DPA, e vincola ogni altro sub-responsabile a obblighi equivalenti. StarPresence resta pienamente responsabile nei confronti del Cliente per l'operato dei propri sub-responsabili. StarPresence informa il Cliente delle aggiunte o sostituzioni previste con un preavviso ragionevole affinché il Cliente possa opporsi; in caso di opposizione legittima che non possa essere risolta, ciascuna parte può recedere dal servizio interessato. Su richiesta, StarPresence fornisce al Cliente un elenco aggiornato dei sub-responsabili con nome, luogo del trattamento e base del trasferimento, e lo aggiorna quando cambiano.

9.4 Esecuzione operativa e responsabilità. Il Cliente prende atto che l'esecuzione operativa, i livelli di servizio e la gestione dei dati sono svolti attraverso l'infrastruttura a valle descritta al punto 9.2. Le controversie commerciali, le pretese di responsabilità e le manleve derivanti da un incidente relativo ai dati sono disciplinate dalle condizioni generali e, tra le parti, sono rivolte esclusivamente a StarPresence LLC e si esauriscono lì. Si applica la sezione 15.

10. Richieste degli interessati e assistenza al Cliente

StarPresence non risponde nel merito alle richieste che gli interessati le rivolgono direttamente in relazione ai Dati del cliente: accesso, rettifica, cancellazione, limitazione, opposizione o portabilità. Inoltra ogni richiesta di questo tipo al Cliente senza ingiustificato ritardo, vi dà seguito solo su istruzione del Cliente e assiste il Cliente, con misure tecniche e organizzative adeguate e in misura ragionevole, nel rispondere entro i termini di legge. Il Cliente risponde all'interessato.

StarPresence assiste inoltre il Cliente, in misura ragionevole, nell'adempimento degli obblighi di cui agli articoli da 32 a 36 del GDPR e alle corrispondenti disposizioni della LPD (sicurezza, notifica delle violazioni, valutazione d'impatto sulla protezione dei dati e consultazione preventiva), tenendo conto della natura del trattamento e delle informazioni a disposizione di StarPresence.

11. Violazioni dei dati personali

StarPresence notifica al Cliente una violazione dei dati personali riguardante i Dati del cliente senza ingiustificato ritardo dopo esserne venuta a conoscenza, e fornisce le informazioni a sua disposizione di cui il Cliente ha bisogno per i propri obblighi di notifica, integrandole man mano che ulteriori informazioni diventano disponibili.

12. Cancellazione o restituzione

Al termine del trattamento, StarPresence, a scelta del Cliente, cancella i Dati del cliente o li restituisce al Cliente, e cancella le copie esistenti entro 30 giorni, salvo che sussista un obbligo legale di conservazione. La cancellazione o la restituzione riguarda i Dati del cliente detenuti da StarPresence. Non ritira, non cancella né modifica i contenuti già pubblicati su una piattaforma di terzi su istruzione del Cliente; tali contenuti restano sulla piattaforma come contenuti pubblicati del Cliente.

13. Documentazione e verifiche

StarPresence mette a disposizione del Cliente le informazioni necessarie per dimostrare il rispetto degli obblighi di cui all'articolo 28 del GDPR e al presente DPA, e consente e contribuisce alle verifiche, comprese le ispezioni, condotte dal Cliente o da un revisore incaricato dal Cliente e vincolato alla riservatezza. Una verifica ha luogo al massimo una volta all'anno, con preavviso scritto di 30 giorni, durante l'orario di lavoro, a spese del Cliente e senza irragionevole disturbo per l'attività di StarPresence; ove possibile, StarPresence soddisfa dapprima la richiesta mediante documentazione.

14. Trasferimenti internazionali

StarPresence ha sede negli Stati Uniti d'America. I Dati del cliente sono conservati in centri dati nell'UE. Qualora Dati del cliente soggetti al GDPR o alla LPD vengano trasferiti a StarPresence o a un sub-responsabile in un paese privo di una decisione di adeguatezza (inclusi gli Stati Uniti e gli UAE), il trasferimento si fonda, ove il destinatario detenga una certificazione ai sensi del Data Privacy Framework applicabile, su tale certificazione e, altrimenti, sulle clausole contrattuali tipo adottate dalla Commissione europea con la decisione di esecuzione (UE) 2021/914 (le «CCT»), integrate da una valutazione d'impatto del trasferimento e, ove necessario, da garanzie supplementari.

Per i trasferimenti dal Cliente a StarPresence le CCT si applicano nel modulo due (da titolare a responsabile); per i trasferimenti successivi da StarPresence ai propri sub-responsabili, nel modulo tre (da responsabile a responsabile). Le CCT sono incorporate nel presente DPA mediante rinvio; il loro allegato I è completato dalle sezioni 1, 2, 4 e 9 del presente DPA e il loro allegato II dalla sezione 8. Per i trasferimenti soggetti alla LPD, le CCT si applicano con gli adattamenti riconosciuti dall'Incaricato federale della protezione dei dati e della trasparenza, e i riferimenti al GDPR si intendono come riferimenti alla LPD. I trasferimenti successivi sono soggetti alle medesime garanzie.

15. Responsabilità

La limitazione di responsabilità delle condizioni generali si applica al presente DPA. La responsabilità delle parti nei confronti degli interessati ai sensi dell'articolo 82 del GDPR e delle corrispondenti disposizioni della LPD resta impregiudicata.

16. Diritto applicabile, prevalenza e versioni linguistiche

Il presente DPA è disciplinato dal diritto e dalla clausola di risoluzione delle controversie delle condizioni generali. Le disposizioni imperative del GDPR e della LPD, la competenza delle autorità di controllo per la protezione dei dati, i diritti degli interessati e le clausole sul diritto applicabile e sul foro delle CCT restano riservati e prevalgono in caso di conflitto.

In caso di divergenze tra il presente DPA e le condizioni generali, il presente DPA prevale per il trattamento dei Dati del cliente. Il presente DPA è fornito in inglese, tedesco, francese e italiano; in caso di divergenze tra le versioni linguistiche prevale la versione inglese.

17. Contatto

Per qualsiasi domanda sul presente DPA, contattateci all'indirizzo:

StarPresence LLC
30 N Gould St Ste N, Sheridan, WY 82801, USA
legal@starpresence.ai