Accordo sul trattamento dei dati

1. Nomina e oggetto

L'organizzazione nomina UniversiData responsabile del trattamento dei dati personali dei propri contatti e dei propri utenti che passano dal CRM. UniversiData li tratta solo per erogare il Servizio, secondo le istruzioni documentate dell'organizzazione: queste condizioni, la configurazione che l'organizzazione sceglie nel CRM e le richieste scritte a privacy@universidata.it.

Se un'istruzione viola a suo parere il GDPR o altre norme sulla protezione dei dati, UniversiData ne informa subito l'organizzazione.

2. Il trattamento

• Natura e finalità: raccolta e conservazione delle iscrizioni agli eventi; gestione dei contatti, delle presenze e dei consensi; invio di email di servizio e di campagne; calcolo di un punteggio di interesse dei contatti secondo le regole impostate dall'organizzazione; sincronizzazione dei consensi con il GDPR Hub, quando l'organizzazione lo collega.
• Interessati: i contatti dell'organizzazione (partecipanti agli eventi, persone che lasciano i propri dati nei moduli, contatti importati) e i suoi utenti.
• Dati: nome, cognome, email, telefono, ruolo e organizzazione di appartenenza; le risposte ai moduli e ai questionari; iscrizioni, presenze e prenotazioni; consensi con data, versione dell'informativa mostrata e modo di raccolta; esiti di recapito delle email (consegna, rimbalzi, segnalazioni di spam); note e attività dello staff; punteggio e temperatura del contatto.
• Categorie particolari: non previste. L'organizzazione non le raccoglie nei campi liberi.
• Durata: per tutto il rapporto, poi fino alla cancellazione prevista al punto 9. I tempi di conservazione dei singoli dati sono decisi dall'organizzazione e indicati nella sua informativa.

3. Riservatezza

Accedono ai dati solo le persone di UniversiData che ne hanno bisogno per erogare il Servizio o l'assistenza, vincolate alla riservatezza. Un accesso ai dati di un'organizzazione da parte del personale di UniversiData avviene solo per l'assistenza richiesta, per la sicurezza del Servizio o per obbligo di legge.

4. Sicurezza

UniversiData adotta misure tecniche e organizzative adeguate al rischio (art. 32 GDPR), tra cui:

• separazione dei dati di ogni organizzazione con regole di accesso applicate dal database su ogni tabella;
• connessioni cifrate (HTTPS/TLS) e dati cifrati a riposo presso i fornitori di infrastruttura;
• accesso degli utenti con password conservate in forma di hash o con Google e Microsoft, ruoli assegnati dall'organizzazione, inviti con scadenza;
• chiavi e segreti conservati solo lato server, mai inviati al browser;
• limiti di frequenza e verifica anti-bot sui moduli pubblici;
• registro delle operazioni dell'amministrazione della piattaforma e delle cancellazioni;
• copie di sicurezza del database gestite dal fornitore, sovrascritte a rotazione;
• aggiornamenti del software con test automatici prima di ogni rilascio.

5. Assistenza al titolare

UniversiData aiuta l'organizzazione a rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, opposizione, revoca del consenso). Gran parte di queste operazioni l'organizzazione le fa da sola nel CRM; ogni contatto può inoltre revocare il consenso promozionale e disiscriversi dalla propria area personale e dal link presente in ogni email promozionale. Su richiesta UniversiData fornisce anche le informazioni utili alla valutazione d'impatto e alla consultazione dell'autorità di controllo.

6. Violazioni dei dati

UniversiData informa l'organizzazione senza ingiustificato ritardo, e comunque entro 48 ore da quando ne ha conoscenza, di ogni violazione dei dati personali che la riguarda. La comunicazione indica, appena disponibili, la natura della violazione, le categorie e il numero approssimativo di interessati e di dati, le conseguenze probabili e le misure adottate.

7. Sub-responsabili e trasferimenti

L'organizzazione autorizza UniversiData a ricorrere ai sub-responsabili elencati qui sotto. UniversiData impone loro obblighi di protezione dei dati equivalenti a quelli di questo accordo e ne risponde. Prima di aggiungerne o sostituirne uno, UniversiData aggiorna questa pagina e ne avvisa i proprietari delle organizzazioni con almeno 15 giorni di anticipo: l'organizzazione può opporsi per motivi legati alla protezione dei dati e, se non si trova una soluzione, recedere.

I servizi esterni scelti e collegati autonomamente dall'organizzazione (per esempio un assistente di intelligenza artificiale tramite il connettore, o le integrazioni con le piattaforme delle fiere) restano sotto la sua responsabilità. Qualora UniversiData intervenga nel trattamento o nella trasmissione dei dati personali attraverso tali servizi per conto dell'organizzazione, il ruolo dei fornitori coinvolti sarà valutato in base alle modalità effettive dell'integrazione e agli obblighi previsti dal GDPR.

8. Verifiche

UniversiData mette a disposizione le informazioni necessarie a dimostrare il rispetto di questo accordo e consente verifiche e ispezioni dell'organizzazione o di un revisore da essa incaricato, vincolato alla riservatezza, con un preavviso di almeno 30 giorni e senza accesso ai dati delle altre organizzazioni.

9. Fine del trattamento

Alla fine del rapporto l'organizzazione può esportare i propri dati per 30 giorni. Trascorso questo periodo UniversiData cancella i dati dell'organizzazione dal Servizio; le copie di sicurezza escono dalla rotazione nei tempi del fornitore del database. Restano solo i dati che la legge obbliga a conservare.

10. Contatti

Per questo accordo e per ogni richiesta sui dati: privacy@universidata.it.