Accordo sul trattamento dei dati

Allegato 1
ACCORDO SUL TRATTAMENTO DEI DATI (DPA) DI GIRAFFE360

1. Premesse

1. 1.1 Il presente Accordo sul trattamento dei dati e i relativi allegati (il “DPA”) si applicano ai Clienti che operano nei paesi dello Spazio economico europeo (SEE) e nel Regno Unito e riflettono l’accordo tra Giraffe360 e il Cliente in merito al trattamento dei Dati del Cliente da parte di Giraffe360 in qualità di responsabile del trattamento per conto del Cliente, che agisce in qualità di titolare del trattamento.
2. 1.2 Il presente DPA è incorporato nei Termini di servizio di Giraffe360 tra il Cliente e Giraffe360 (il “Contratto”) e ne costituisce parte integrante. In caso di conflitto tra le disposizioni del presente DPA e le disposizioni del Contratto, prevalgono le disposizioni del presente DPA.

2. Definizioni

Salvo quanto diversamente indicato di seguito, ciascun termine con iniziale maiuscola utilizzato nel presente DPA ha il significato indicato nel Contratto e i seguenti termini con iniziale maiuscola utilizzati nel presente DPA sono definiti come segue:

“Dati del Cliente” indica i Dati personali contenuti nei Contenuti Giraffe360 e qualsiasi altro contenuto o dato che il Cliente mette a disposizione di Giraffe360 e che è ospitato da Giraffe360 in relazione alla fornitura del Servizio Giraffe360, compresi i Dati sull’immobile, i Dati del profilo del Cliente e i Dati dei clienti del Cliente, come ulteriormente descritto nella clausola 3.1 del presente DPA.

“Titolare del trattamento” indica la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del Trattamento di Dati personali. Ai fini del presente DPA, il Titolare del trattamento è il Cliente.

“Normativa sulla protezione dei dati” indica il GDPR, qualsiasi normativa nazionale di attuazione o integrativa e qualsiasi altra normativa applicabile che tuteli i diritti e le libertà fondamentali delle persone e il loro diritto alla riservatezza in relazione al trattamento dei Dati del Cliente.

“Interessato” indica la persona fisica cui si riferiscono i Dati personali.

“Spazio economico europeo” o “SEE” indica gli Stati membri dell’Unione europea, unitamente a Islanda, Norvegia e Liechtenstein.

“GDPR” indica il Regolamento generale sulla protezione dei dati dell’UE 2016/679 del Parlamento europeo e del Consiglio e, ove applicabile, lo “UK GDPR” come definito nelle The Data Protection, Privacy and Electronic Communications (Amendment Etc.) (EU Exit) Regulations 2019.

“Istruzioni” indica le istruzioni scritte e documentate impartite dal Cliente a Giraffe360, con le quali si chiede a Giraffe360 di compiere un’azione specifica o generale in relazione ai Dati del Cliente.

“Sub-responsabile del trattamento” indica qualsiasi Responsabile del trattamento incaricato da Giraffe360 che Tratta i Dati del Cliente di Giraffe360.

“Dati personali” indica qualsiasi informazione riguardante una persona fisica identificata o identificabile, come definita dalla Normativa sulla protezione dei dati pertinente.

“Violazione dei dati personali” indica la distruzione, la perdita, la modifica, l’alterazione, la divulgazione non autorizzata o l’accesso, accidentali o illeciti, ai Dati del Cliente, come definita dalla Normativa sulla protezione dei dati pertinente.

“Trattamento” indica qualsiasi operazione o insieme di operazioni compiute su Dati personali, comprese la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione di Dati personali. I termini “Trattare”, “Tratta” e “Trattati” devono essere interpretati di conseguenza.

“Responsabile del trattamento” indica una persona fisica o giuridica, un’autorità pubblica, un servizio o altro organismo che Tratta Dati personali per conto del Titolare del trattamento. Ai fini del presente DPA, il Responsabile del trattamento è Giraffe360.

3. Trattamento dei dati

1. 3.1 Giraffe360 tratta le seguenti categorie di Dati personali relativi ai seguenti Interessati per le finalità di seguito descritte:
1. 1. Dati sull’immobile: comprendono immagini, video, nuvole di punti, tour virtuali, planimetrie, dati di localizzazione GPS, informazioni fornite nella landing page di presentazione dell’immobile e altre informazioni correlate sull’immobile acquisite dal Cliente, estratte dalla fotocamera Giraffe360 o fornite dal Cliente a seguito dell’utilizzo del Servizio Giraffe360 da parte del Cliente. Sebbene tali informazioni di norma non identifichino alcuna persona fisica, in rari casi possono identificare i proprietari dell’immobile, persone i cui dati vengono acquisiti durante una Scansione o il Cliente. È responsabilità del Cliente garantire che le Risorse acquisite non contengano Informazioni personali vietate come definite nei Termini di servizio. I Dati sull’immobile sono trattati per creare i Contenuti Giraffe360.
   2. Dati del profilo del Cliente: comprendono i Dati personali relativi al Cliente, ai suoi rappresentanti o dipendenti, quali nomi, cognomi, indirizzi e-mail, numeri di telefono, foto, slogan e collegamenti ipertestuali ad account di social media forniti dal Cliente tramite la Dashboard durante l’utilizzo del Servizio Giraffe360. Tali dati sono Trattati per consentire: la creazione di profili nella Dashboard per il Cliente, i suoi rappresentanti o dipendenti; l’accesso ai Contenuti Giraffe360 all’interno della Dashboard; la condivisione dei Contenuti Giraffe360 nonché la fornitura di informazioni sul Cliente, sui suoi rappresentanti o dipendenti tramite il Servizio Giraffe360.
   3. Dati dei clienti del Cliente: comprendono i dati personali dei clienti del Cliente, quali nomi, cognomi, indirizzi e-mail, numeri di telefono e messaggi di potenziali acquirenti o locatari di immobili. Tali dati sono messi a disposizione del Cliente tramite la Dashboard. Vengono acquisiti quando il Cliente attiva la funzionalità Leads, che consente ai clienti del Cliente di lasciare i propri recapiti affinché il Cliente possa contattarli. Tale funzionalità può essere disattivata dal Cliente nella Dashboard.
2. 3.2 I Dati del Cliente sono trasferiti su base continuativa in relazione alla fornitura dei servizi secondo quanto previsto nel Contratto e nel presente DPA fino alla cessazione del Contratto.

4. Obblighi del Cliente

1. 4.1 Il Cliente è responsabile del rispetto di tutti i requisiti che si applicano al Cliente ai sensi della Normativa sulla protezione dei dati in relazione al Trattamento di Dati personali da parte del Cliente.
2. 4.2 In particolare, ma fatto salvo il carattere generale di quanto precede, il Cliente riconosce e accetta di essere l’unico responsabile:
2. 1. dell’esattezza, della qualità e della liceità dei Dati del Cliente e dei mezzi con cui il Cliente ha acquisito tali dati;
   2. del rispetto di tutti i necessari requisiti di trasparenza e liceità previsti dalla Normativa sulla protezione dei dati per la raccolta e l’uso dei Dati del Cliente, compresi la fornitura di informative adeguate, l’ottenimento di tutti i consensi e le autorizzazioni necessari e il rispetto delle preferenze di opt-out (in particolare per l’uso da parte del Cliente a fini di marketing); e
   3. di garantire di avere il diritto di trasferire i Dati del Cliente a Giraffe360, o di fornirle accesso agli stessi, ai fini del Trattamento conformemente ai termini del Contratto (compreso il presente DPA).
3. 4.3 Il Cliente deve informare Giraffe360 senza ingiustificato ritardo qualora non sia in grado di adempiere alle proprie responsabilità ai sensi della presente sezione o della Normativa sulla protezione dei dati.
4. 4.4 Il Cliente è responsabile di garantire che le proprie Istruzioni a Giraffe360 in merito al Trattamento dei Dati del Cliente siano conformi alle leggi applicabili, compresa la Normativa sulla protezione dei dati.
5. 4.5 Le parti convengono che il Contratto (compreso il presente DPA), unitamente all’utilizzo del Servizio Giraffe360 da parte del Cliente conformemente al Contratto, costituisce l’insieme completo delle Istruzioni del Cliente a Giraffe360 in relazione al Trattamento dei Dati del Cliente da parte di Giraffe360, fermo restando che il Cliente può fornire Istruzioni aggiuntive nel corso della durata del Contratto che siano coerenti con il Contratto e con la natura e l’uso lecito del Servizio Giraffe360.
6. 4.6 Il Cliente è responsabile di stabilire autonomamente se la sicurezza dei dati prevista nel Servizio Giraffe360 sia adeguata ai propri obblighi ai sensi della Normativa sulla protezione dei dati. Il Cliente è inoltre responsabile dell’utilizzo sicuro del Servizio Giraffe360.

5. Obblighi di Giraffe360

1. 5.1 In qualità di Responsabile del trattamento dei Dati personali, Giraffe360 Tratterà i Dati del Cliente esclusivamente per le finalità descritte nel presente DPA o come altrimenti concordato nell’ambito delle Istruzioni lecite del Cliente, salvo ove e nella misura in cui sia diversamente richiesto dalla legge applicabile, nel qual caso Giraffe360, nella misura consentita dalla legge applicabile, informerà il Cliente di tale obbligo giuridico prima di Trattare i Dati del Cliente. Giraffe360 non è responsabile del rispetto di alcuna Normativa sulla protezione dei dati applicabile al Cliente o al settore del Cliente che non sia generalmente applicabile a Giraffe360.
2. 5.2 Giraffe360 adotterà e manterrà misure tecniche e organizzative adeguate per proteggere i Dati del Cliente come richiesto dalla Normativa sulla protezione dei dati (le “Misure di sicurezza”). Nonostante qualsiasi disposizione contraria, Giraffe360 può modificare o aggiornare le Misure di sicurezza a sua discrezione, a condizione che tale modifica o aggiornamento non comporti una riduzione sostanziale della protezione offerta dalle Misure di sicurezza.
3. 5.3 Tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto Misure di sicurezza per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso:
3. 1. la pseudonimizzazione e la cifratura dei dati personali;
   2. Misure di sicurezza adeguate a mantenere la capacità di assicurare su base permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento;
   3. Misure di sicurezza adeguate a mantenere la capacità di ripristinare tempestivamente la disponibilità e l’accesso ai Dati personali in caso di incidente fisico o tecnico;
   4. una procedura per testare, verificare e valutare regolarmente l’efficacia delle Misure di sicurezza al fine di garantire la sicurezza del Trattamento.
4. 5.4 Giraffe360 garantirà che il personale autorizzato a Trattare i Dati del Cliente per conto di Giraffe360 sia soggetto ad adeguati obblighi di riservatezza in relazione ai Dati del Cliente.
5. 5.5 Entro 30 giorni dalla cessazione del Contratto, Giraffe360 cancellerà o, a scelta del Cliente, restituirà tutte le copie dei Dati del Cliente trattati da Giraffe360 ai sensi del presente DPA. Il Cliente deve comunicare a Giraffe360 la propria scelta entro 14 giorni lavorativi dalla cessazione del Contratto. Il termine di 30 giorni si applica salvo ove la legge applicabile ci imponga di conservare, in tutto o in parte, i Dati del Cliente.
6. 5.6 Giraffe360 può conservare e utilizzare i Dati sull’immobile, sia durante il Contratto sia dopo la sua cessazione, per finalità di machine learning e di addestramento dell’intelligenza artificiale e per il miglioramento del servizio. Tale Trattamento sarà effettuato da Giraffe360 in qualità di Titolare del trattamento e conformemente all’Informativa sulla privacy di Giraffe360.
7. 5.7 Giraffe360 può conservare i Dati del Cliente nella misura in cui Giraffe360 lo ritenga necessario per promuovere o difendere qualsiasi azione legale, a condizione che tali Dati del Cliente siano conservati solo nella misura e per il periodo richiesti dalle leggi applicabili o in attesa della risoluzione di qualsiasi questione, e sempre a condizione che Giraffe360 garantisca la riservatezza di tutti tali Dati del Cliente.

6. Sub-responsabili del trattamento

1. 6.1 Con il presente atto il Cliente rilascia a Giraffe360 un’autorizzazione scritta generale a ricorrere a Sub-responsabili del trattamento per l’assistenza nella fornitura del Servizio Giraffe360. Giraffe360 garantisce che tutti i Sub-responsabili del trattamento siano vincolati da obblighi contrattuali che assicurino un livello di protezione dei dati almeno pari a quello richiesto dal presente DPA e dalla Normativa sulla protezione dei dati applicabile. Un elenco aggiornato dei Sub-responsabili del trattamento, comprendente nome, ubicazione e finalità, è disponibile sul sito web di Giraffe360 (l’“Elenco dei sub-responsabili del trattamento”).
2. 6.2 Giraffe360 si riserva il diritto di aggiornare l’Elenco dei sub-responsabili del trattamento ove necessario. Eventuali aggiunte o sostituzioni nell’Elenco dei sub-responsabili del trattamento saranno pubblicate sul sito web almeno 15 giorni prima che il nuovo Sub-responsabile del trattamento sia autorizzato a trattare i Dati del Cliente. Si invitano i Clienti a consultare periodicamente l’Elenco dei sub-responsabili del trattamento.
3. 6.3 Qualora un Cliente si opponga ragionevolmente a un nuovo Sub-responsabile del trattamento per legittime preoccupazioni relative alla protezione dei dati, il Cliente deve informarne Giraffe360 per iscritto entro 15 giorni dalla pubblicazione dell’aggiornamento. Al ricevimento di un’opposizione, Giraffe360 esaminerà le preoccupazioni del Cliente e si adopererà in buona fede per trovare una soluzione reciprocamente accettabile. Qualora non pervenga alcuna opposizione entro il periodo di notifica di 15 giorni, si considera che il Cliente abbia accettato il Sub-responsabile del trattamento aggiornato.
4. 6.4 Giraffe360 resta in ogni momento responsabile del rispetto dei propri obblighi ai sensi del DPA e risponde nei confronti del Cliente degli atti e delle omissioni di qualsiasi Sub-responsabile del trattamento come se si trattasse di atti e omissioni di Giraffe360.

7. Trasferimenti internazionali

1. 7.1 Giraffe360 non trasferisce i Dati del Cliente a un destinatario in un paese o territorio al di fuori del SEE o del Regno Unito, salvo che:
1. 1. il destinatario, o il paese o territorio in cui tratta i Dati del Cliente o vi accede, garantisca un livello di protezione adeguato dei diritti e delle libertà degli interessati in relazione al trattamento dei Dati del Cliente, come stabilito dalla Commissione europea; oppure
   2. il trasferimento si basi sulle Clausole contrattuali tipo (responsabili del trattamento) approvate con la Decisione di esecuzione (UE) 2021/914 della Commissione, o su qualsiasi versione successiva delle stesse, o su un altro meccanismo di trasferimento giuridicamente riconosciuto.

8. Sicurezza dei dati, audit e notifiche di sicurezza

1. 8.1 Il Cliente può, con ragionevole preavviso e in orari ragionevoli, sottoporre ad audit (direttamente o avvalendosi di revisori terzi indipendenti) il rispetto delle Misure di sicurezza da parte di Giraffe360, anche mediante audit delle strutture di trattamento dei dati di Giraffe360. Giraffe360 fornisce assistenza e contribuisce a qualsiasi audit condotto ai sensi del presente DPA, a condizione che tali audit non siano effettuati più di una volta all’anno.
2. 8.2 Su richiesta del Cliente, Giraffe360 mette a disposizione tutte le informazioni ragionevolmente necessarie per dimostrare il rispetto del presente DPA e della Normativa sulla protezione dei dati.
3. 8.3 Ove richiesto ai sensi dell’articolo 28, paragrafo 3, lettera h), del GDPR, Giraffe360 informa immediatamente il Cliente qualora Giraffe360 ritenga che le Istruzioni del Cliente siano in contrasto con i requisiti di qualsiasi Normativa sulla protezione dei dati o di altre leggi dell’UE, del Regno Unito o di uno Stato membro del SEE.
4. 8.4 Giraffe360 informa per iscritto il Cliente senza ingiustificato ritardo dopo essere venuta a conoscenza di qualsiasi Violazione dei dati personali relativa ai Dati del Cliente e al Trattamento effettuato ai sensi del presente DPA. Giraffe360 fornisce al Cliente ragionevole assistenza per garantire il rispetto della Normativa sulla protezione dei dati applicabile in relazione alla Violazione dei dati personali, compreso il supporto in caso di indagini delle autorità, notifiche alle autorità di controllo e/o comunicazioni agli Interessati.
5. 8.5 Nel segnalare una Violazione dei dati personali, Giraffe360 comunicherà con un linguaggio semplice e chiaro, come minimo e nella misura possibile sulla base delle informazioni disponibili: una spiegazione della natura della Violazione dei dati, il nome e i dati di contatto del responsabile della protezione dei dati (“DPO”) o di altro punto di contatto presso cui ottenere ulteriori informazioni, una descrizione delle possibili conseguenze della Violazione dei dati personali e una descrizione delle misure adottate o proposte per porre rimedio alla Violazione dei dati personali, comprese, ove opportuno, le misure adottate per attenuarne i possibili effetti negativi.

9. Richieste di accesso e diritti degli interessati

1. 9.1 Salvo quanto richiesto (o laddove vietato) dalla legge applicabile, Giraffe360 informa il Cliente di qualsiasi richiesta ricevuta da Giraffe360 da parte di un Interessato, direttamente o tramite un Sub-responsabile del trattamento, in relazione ai propri Dati personali inclusi nei Dati del Cliente e non risponde all’Interessato.
2. 9.2 Giraffe360 fornisce al Cliente la possibilità di rettificare, cancellare, bloccare, consultare o copiare i Dati del Cliente conformemente alle funzionalità del Servizio Giraffe360 e nella misura in cui queste lo consentano.
3. 9.3 Giraffe360 informa il Cliente di qualsiasi richiesta di divulgazione dei Dati del Cliente da parte di un organismo governativo o di regolamentazione o di un’autorità di contrasto (compresa qualsiasi autorità di controllo per la protezione dei dati), salvo ove ciò sia altrimenti vietato dalla legge o da un ordine giuridicamente vincolante di tale organismo o autorità.
4. 9.4 Ove applicabile, tenendo conto della natura del Trattamento e nella misura richiesta dalla Normativa sulla protezione dei dati applicabile, Giraffe360:
4. 1. compie ogni ragionevole sforzo per assistere il Cliente mediante misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l’obbligo del Cliente di dare seguito alle richieste per l’esercizio dei diritti dell’interessato previsti dal GDPR; e
   2. fornisce al Cliente ragionevole assistenza in relazione a qualsiasi valutazione d’impatto sulla protezione dei dati e a qualsiasi consultazione preventiva di un’autorità di controllo del Cliente, in ogni caso esclusivamente in relazione al Trattamento dei Dati del Cliente e tenendo conto delle informazioni a disposizione di Giraffe360.