Accordo sul trattamento dei dati

Ambito e ruoli

Per i Dati personali del Cliente trasmessi tramite l’API, gli strumenti di elaborazione dei file o le funzioni dei fogli di calcolo collegati, il Cliente è il titolare del trattamento e Onur Öztürk, ditta individuale con denominazione Ozan Soft (“GenderAPI”), è il responsabile del trattamento. Ciascuna parte resta autonomamente responsabile dei dati personali che tratta in qualità di titolare del trattamento, inclusa la gestione da parte di GenderAPI di account, fatturazione e contatti commerciali.

Il Cliente stabilisce se i dati trasmessi sono dati personali ed è responsabile della relativa base giuridica, delle informative, delle autorizzazioni e delle istruzioni. Il Cliente non deve trasmettere dati che il Servizio non è progettato per trattare, né utilizzare i risultati dell’inferenza come unica base per una decisione che produca effetti giuridici o effetti analogamente significativi su una persona.

Istruzioni per il trattamento

GenderAPI tratterà i Dati personali del Cliente solo per fornire, proteggere e supportare il Servizio in conformità con il contratto, il presente DPA, l’uso documentato del Servizio da parte del Cliente e la legge applicabile. GenderAPI informerà il Cliente se, a suo ragionevole giudizio, un’istruzione viola la normativa applicabile in materia di protezione dei dati, salvo che la legge vieti tale comunicazione.

GenderAPI non venderà i Dati personali del Cliente, non li utilizzerà per pubblicità comportamentale basata su contesti diversi, non li utilizzerà per addestrare il modello di inferenza privato e non li conserverà nei log dell’IA. Le regole di conservazione dell’Informativa sulla privacy sono parte integrante di queste istruzioni documentate per il trattamento.

Riservatezza e sicurezza

GenderAPI garantirà che le persone autorizzate a trattare i Dati personali del Cliente siano soggette a un adeguato obbligo di riservatezza e possano accedere ai dati solo nella misura necessaria per le mansioni loro assegnate. GenderAPI manterrà misure tecniche e organizzative adeguate alla natura del Servizio e ai rischi del trattamento.

• Trasmissione protetta da TLS per i dati scambiati con il Servizio.
• Restrizioni di accesso ai sistemi di produzione, ai dati dei clienti e ai backup ad accesso limitato.
• Separazione e protezione delle credenziali degli account e delle chiavi API di produzione.
• Registrazione tecnica e degli eventi di sicurezza secondo il calendario di conservazione pubblicato.
• Backup a rotazione con un periodo standard di sovrascrittura fino a 15 giorni.
• Elaborazione tramite IA privata senza addestramento sui dati dei clienti né registrazione di prompt o risultati dell’IA.
• Procedure di minimizzazione e cancellazione dei dati allineate al calendario di conservazione del Servizio.

Sub-responsabili del trattamento

Il Cliente concede a GenderAPI un’autorizzazione scritta generale a ricorrere ai fornitori indicati come sub-responsabili del trattamento ai sensi del DPA nella pagina dei sub-responsabili del trattamento. GenderAPI imporrà a ciascun sub-responsabile del trattamento di proteggere i Dati personali del Cliente in base a obblighi sostanzialmente conformi al presente DPA, per quanto applicabili ai servizi che il sub-responsabile svolge. GenderAPI resta responsabile dei propri obblighi ai sensi del presente DPA. I fornitori utilizzati solo per le attività che GenderAPI svolge come titolare del trattamento, come la fatturazione o le comunicazioni relative all’account, sono indicati separatamente e non sono considerati responsabili del trattamento del Cliente per il solo fatto di comparire nel registro dei fornitori.

GenderAPI darà un preavviso di almeno 30 giorni tramite la pagina dei sub-responsabili del trattamento, il Servizio o l’e-mail dell’account del Cliente prima di aggiungere o sostituire un sub-responsabile del trattamento che tratterà Dati personali del Cliente. In tale periodo il Cliente può sollevare un’opposizione ragionevole e documentata per motivi di protezione dei dati. Le parti collaboreranno in buona fede per individuare una soluzione commercialmente ragionevole; se non è disponibile alcuna soluzione, il Cliente può smettere di utilizzare la funzionalità interessata.

Assistenza e violazioni dei dati personali

Tenendo conto della natura del trattamento e delle informazioni di cui dispone, GenderAPI fornirà un’assistenza ragionevole in relazione alle richieste degli interessati, agli obblighi di sicurezza, alle notifiche di violazione dei dati personali, alle valutazioni d’impatto sulla protezione dei dati e alle consultazioni richieste dalla normativa applicabile in materia di protezione dei dati. Se un interessato contatta GenderAPI in merito ai Dati personali del Cliente, GenderAPI può inoltrare la richiesta al Cliente, salvo che la legge applicabile imponga una risposta diretta.

GenderAPI informerà il Cliente senza ingiustificato ritardo e, ove ragionevolmente possibile, entro 48 ore dal momento in cui viene a conoscenza di una violazione dei dati personali accertata che riguardi i Dati personali del Cliente. La notifica fornirà le informazioni disponibili ragionevolmente necessarie per la valutazione del Cliente e per i suoi obblighi di notifica. La notifica non costituisce ammissione di colpa o di responsabilità.

Restituzione e cancellazione

Per la durata del Servizio, il Cliente può recuperare i risultati disponibili tramite le funzioni supportate dal Servizio. In caso di chiusura dell’account, cessazione del relativo trattamento o richiesta di cancellazione valida, GenderAPI cancellerà o renderà anonimi in modo irreversibile, entro 30 giorni, i Dati personali del Cliente ancora presenti nei sistemi attivi, salvo che la legge applicabile ne imponga la conservazione. I dati rimossi dai sistemi attivi possono restare nei backup a rotazione ad accesso limitato per un massimo di ulteriori 15 giorni prima della sovrascrittura automatica.

La conservazione per obbligo di legge dei documenti di fatturazione, delle transazioni, della prevenzione delle frodi o delle controversie non autorizza l’uso continuato del contenuto delle query o dei file caricati dal Cliente. Il calendario specifico per categoria dell’Informativa sulla privacy continua ad applicarsi quando prevede un periodo più breve.

Informazioni e audit

GenderAPI metterà a disposizione del Cliente le informazioni ragionevolmente necessarie per dimostrare il rispetto del presente DPA, in primo luogo tramite le policy e la documentazione aggiornate e un ragionevole questionario sulla sicurezza. Se tali informazioni non sono sufficienti per adempiere a un obbligo di legge, il Cliente può richiedere un audit proporzionato non più di una volta all’anno, salvo in seguito a una violazione accertata o a una richiesta vincolante di un’autorità di controllo.

L’audit deve essere svolto con un ragionevole preavviso, durante il normale orario lavorativo, senza esporre i dati di altri clienti né compromettere la sicurezza. Il Cliente sostiene i costi dell’audit, a meno che l’audit non rilevi una violazione sostanziale da parte di GenderAPI. Le parti concorderanno preventivamente condizioni adeguate di riservatezza e di ambito.

Trasferimenti internazionali

I Dati personali del Cliente possono essere trattati in Turchia e, tramite l’infrastruttura contrattata, negli Stati Uniti. Ove applicabile, GenderAPI utilizzerà un meccanismo di trasferimento giuridicamente riconosciuto. Se sono necessarie le clausole contrattuali tipo dell’UE adottate con la decisione di esecuzione (UE) 2021/914 della Commissione, il modulo applicabile da titolare del trattamento a responsabile del trattamento è incorporato nel presente DPA e prevale sulle condizioni in conflitto per quel trasferimento. Al momento della sottoscrizione del DPA, le parti completeranno le scelte o i dettagli degli allegati richiesti dalla legge per il loro specifico trasferimento.

Dettagli del trattamento

Oggetto e durata

Il trattamento necessario per fornire GenderAPI durante l’uso del Servizio da parte del Cliente e per i periodi limitati di cancellazione, backup, sicurezza e conservazione per obbligo di legge descritti nel presente DPA e nell’Informativa sulla privacy.

Natura e finalità

Ricezione, trasmissione, analisi e restituzione dei risultati per le query API, i file Excel o CSV caricati e le operazioni dei fogli di calcolo collegati, oltre ai relativi servizi di hosting, sicurezza, risoluzione dei problemi e assistenza.

Categorie di interessati

Le persone i cui nomi, indirizzi e-mail, nomi utente o dati correlati vengono trasmessi dal Cliente; gli utenti, il personale, i contatti o gli utenti finali del Cliente; e le persone rappresentate nei dati dei fogli di calcolo caricati o collegati.

Tipi di dati personali

Nomi, indirizzi e-mail, nomi utente, contesto di paese o localizzazione, campi dei fogli di calcolo forniti dal cliente, risultato del genere dedotto e informazioni sul livello di confidenza, oltre a metadati limitati su richieste, dispositivi, autenticazione e sicurezza necessari per il funzionamento del Servizio. Il Cliente non deve trasmettere categorie particolari di dati, salvo espresso accordo scritto e ove consentito dalla legge.