Accordo sul
trattamento
dei dati

Base44: Addendum sul trattamento dei dati – Utenti

Il presente Addendum sul trattamento dei dati (il “DPA”) costituisce parte integrante dei Termini di servizio che disciplinano i servizi forniti da Base44, Inc. (la “Società”) e di qualsiasi altro accordo o documento sottoscritto tra le parti (collettivamente, l’“Accordo”).

Qualora, nell’ambito dei Servizi forniti, inclusi la creazione e l’hosting della tua applicazione, la fornitura di funzionalità di intelligenza artificiale e di API di terzi, nonché qualsiasi altra attività necessaria per fornirti la nostra Piattaforma e migliorarla (collettivamente, i “Servizi”), la Società tratti, per tuo conto, informazioni relative ai tuoi utenti, clienti, potenziali clienti o a qualsiasi altro individuo che interagisce con la tua applicazione (l’“Interessato”), il presente DPA disciplinerà il trattamento di tutte le informazioni ricevute, raccolte, consultate o utilizzate dalla Società per tuo conto in relazione all’Accordo (i “Dati personali”).

Ruoli e istruzioni

Riconosci e accetti che, in relazione al trattamento dei Dati personali, agisci in qualità di:

titolare del trattamento, determinando le finalità e i mezzi del trattamento dei Dati personali (il “Titolare del trattamento”); oppure
responsabile del trattamento, trattando i Dati personali per conto di terzi (il “Responsabile del trattamento”).

La Società sarà considerata tuo Responsabile del trattamento e in nessun caso sarà considerata Titolare del trattamento.

Con il presente documento, impartisci alla Società istruzioni affinché tratti i Dati personali in conformità ai termini del presente DPA. Tali termini saranno considerati le istruzioni complete, esclusive e definitive relative al trattamento dei Dati personali da parte della Società. Non potranno essere impartite ulteriori istruzioni che si discostino da quanto previsto nel presente DPA o che comportino responsabilità o costi aggiuntivi.

Con il presente documento, dichiari e garantisci che tutti i Dati personali forniti alla Società ai sensi del presente DPA sono stati raccolti lecitamente, senza violare alcun diritto o libertà di alcun Interessato e in conformità a tutte le Leggi applicabili in materia di protezione dei dati (come definite di seguito).

Trattamento da parte della Società

Ciascuna parte si impegna a rispettare tutte le leggi, le norme e i regolamenti a essa applicabili in relazione al trattamento dei Dati personali, inclusi il Regolamento (UE) 2016/679 e la normativa nazionale dello Stato membro del SEE applicabile che attua il GDPR, le leggi degli Stati Uniti in materia di protezione dei dati, il Regolamento generale sulla protezione dei dati del Regno Unito (UK GDPR), le leggi federali e statali degli Stati Uniti, il Personal Information Protection and Electronic Documents Act (PIPEDA) del Canada, la Lei Geral de Proteção de Dados (LGPD) del Brasile e la Legge israeliana sulla protezione della privacy (collettivamente, le “Leggi applicabili in materia di protezione dei dati”).

La Società tratterà i Dati personali al fine di fornire i Servizi, in conformità all’Accordo. La natura e le finalità del trattamento, la sua durata e le categorie di Dati personali saranno determinate esclusivamente da te, in base al tuo utilizzo dei Servizi.

La Società adotterà misure tecniche e organizzative adeguate volte a:

prevenire l’accesso, la divulgazione o la compromissione non autorizzati dei tuoi Dati personali, come indicato nell’Allegato B;
assisterti nel soddisfare le richieste che potresti ricevere dagli Interessati;
garantire che il proprio personale coinvolto nel trattamento dei Dati personali sia informato della natura riservata dei Dati personali, abbia ricevuto una formazione adeguata in merito alle proprie responsabilità e sia vincolato da obblighi di riservatezza.

La Società potrà consentirti di integrare la tua applicazione con terzi tramite la Piattaforma e di condividere con essi i Dati personali. Resta inteso che il rapporto tra te e tali terzi è instaurato a tua esclusiva discrezione e ti consigliamo vivamente di esaminare e sottoscrivere i termini applicabili a tali integrazioni.

La Società utilizzerà i Dati personali esclusivamente per la fornitura dei Servizi oppure, previa completa anonimizzazione e rimozione di tutti gli elementi identificativi personali, in forma anonimizzata o aggregata.

Sub-responsabili del trattamento

La Società può trattare i Dati personali avvalendosi di terzi (i “Sub-responsabili del trattamento”) al fine di fornirti i Servizi, nel rispetto delle limitazioni previste dal presente DPA. I Sub-responsabili del trattamento non tratteranno i Dati personali, salvo che in forma aggregata o anonimizzata, per finalità diverse dalla fornitura dei Servizi.

I Sub-responsabili del trattamento saranno vincolati da termini sostanzialmente analoghi a quelli previsti nel presente DPA.

La Società resterà responsabile nei tuoi confronti per qualsiasi violazione del presente DPA causata dai propri Sub-responsabili del trattamento e garantirà lo svolgimento e il mantenimento di un’adeguata due diligence nei confronti dei propri Sub-responsabili del trattamento.

Tutti i Sub-responsabili del trattamento attualmente incaricati dalla Società sono elencati nell’Allegato C.

La Società ti consente di iscriverti all’elenco dei Sub-responsabili del trattamento e di ricevere una notifica in caso di aggiunta o sostituzione di un Sub-responsabile del trattamento, che sarà inviata sette (7) giorni prima di tale modifica. Per iscriverti a tali notifiche, invia un’email a compliance@base44.com.

Puoi opporti ragionevolmente alla nomina o alla sostituzione di un Sub-responsabile del trattamento da parte della Società per motivi ragionevoli e documentati relativi alla protezione dei dati, inviando un’obiezione scritta e motivata all’indirizzo compliance@base44.com entro sette (7) giorni dal ricevimento della notifica della modifica.

In tal caso, la Società potrà, a propria esclusiva discrezione, compiere ogni ragionevole sforzo dal punto di vista commerciale (senza tuttavia esservi obbligata) per mettere a tua disposizione una soluzione alternativa al fine di evitare il trattamento dei Dati personali da parte del nuovo Sub-responsabile del trattamento oggetto della tua opposizione. Fino a quando la Società non avrà adottato una decisione in merito alla tua opposizione, potrebbe essere necessario sospendere temporaneamente il trattamento dei Dati personali, con la conseguente disattivazione di alcune funzionalità dei Servizi.

Qualora la Società ritenga, a propria piena ed esclusiva discrezione (senza alcun obbligo di fornire motivazioni), di non essere in grado di risolvere la tua opposizione o di fornirti tale soluzione alternativa entro trenta (30) giorni dal ricevimento della tua valida opposizione motivata, il tuo unico rimedio sarà interrompere l’utilizzo dei Servizi interessati mediante comunicazione scritta all’indirizzo compliance@base44.com. Tale interruzione non pregiudicherà gli eventuali corrispettivi maturati prima dell’interruzione dei Servizi interessati e non avrai ulteriori pretese nei confronti della Società in relazione all’interruzione dei Servizi interessati. Qualora non venga presentata alcuna opposizione alla nomina o alla sostituzione di un nuovo Sub-responsabile del trattamento entro il termine sopra indicato, la Società considererà tale Sub-responsabile del trattamento da te autorizzato.

Sicurezza

La Società ha implementato e manterrà misure di sicurezza tecniche e organizzative conformi agli standard del settore, progettate per prevenire l’accesso, la divulgazione o la compromissione non autorizzati dei tuoi Dati personali, come indicato nell’Allegato B.

Sei responsabile di esaminare le informazioni messe a disposizione dalla Società in merito alla sicurezza dei dati e di determinare in modo indipendente se i Servizi soddisfano le tue esigenze, i tuoi requisiti e i tuoi obblighi di legge.

Ove applicabile, sei inoltre responsabile della corretta configurazione dei Servizi e dell’utilizzo delle funzionalità e delle caratteristiche messe a disposizione per mantenere un livello adeguato di sicurezza dei Dati personali.

Utilizzando i Servizi della Società, riconosci l’adeguatezza delle misure organizzative, tecniche e di sicurezza implementate dalla Società.

Audit

Su tua ragionevole richiesta scritta, a intervalli ragionevoli (non più di una volta ogni dodici (12) mesi) e subordinatamente all’assunzione, da parte tua, di impegni di riservatezza, ove applicabile, la Società ti metterà a disposizione relazioni, certificazioni o relativi estratti, ove prontamente disponibili presso un soggetto incaricato di verificare le pratiche della Società in materia di protezione dei dati, affinché tu possa valutare la conformità della Società al presente DPA con riferimento ai tuoi Dati personali.

Nella misura in cui tale documentazione non sia sufficiente a consentire alla Società di adempiere ai propri obblighi nei tuoi confronti ai sensi delle Leggi applicabili in materia di protezione dei dati, la Società ti consentirà di effettuare un audit indipendente, mediante l’invio di questionari ragionevoli, colloqui con il personale della Società o altri metodi ragionevoli richiesti dalle Leggi applicabili in materia di protezione dei dati, il tutto senza imporre alcun costo aggiuntivo alla Società.

Violazione della sicurezza

Non appena verrà a conoscenza di una violazione della sicurezza confermata in cui i Dati personali siano stati accidentalmente o illecitamente distrutti, persi, alterati, divulgati o siano stati oggetto di accesso non autorizzato, la Società ti informerà senza ingiustificato ritardo, come richiesto dalle Leggi applicabili in materia di protezione dei dati.

La Società compirà ogni ragionevole sforzo per includere in tale notifica le informazioni pertinenti relative alla natura della violazione, all’ambito e alla tipologia dei dati e degli Interessati coinvolti, alle conseguenze previste e ai dettagli delle misure correttive e delle altre misure adottate dalla Società.

Riconosci che tale notifica non sarà considerata né interpretata come un’ammissione, da parte della Società, di alcuna colpa o responsabilità in relazione a tale incidente.

Riconosci inoltre che, in caso di tale incidente, potresti essere tenuto ad adottare le misure richieste dalle Leggi applicabili in materia di protezione dei dati per mitigare i danni agli Interessati.

Assistenza e richieste relative ai Dati personali

Salvo ove vietato dalla legge, la Società ti informerà tempestivamente qualora riceva richieste, ordini, mandati o analoghe richieste da parte delle autorità per accedere ai Dati personali. La Società non concederà l’accesso ai Dati personali, salvo qualora ritenga ragionevolmente che tali richieste siano vincolanti; in tal caso limiterà l’accesso ai Dati personali nella misura necessaria a conformarsi a tali richieste.

La Società ti informerà tempestivamente qualora riceva una richiesta da parte di un Interessato riguardante specificamente il trattamento dei Dati personali effettuato per tuo conto. La Società non sarà responsabile di rispondere a tali richieste e ti fornirà le informazioni prontamente disponibili necessarie per rispondere alle stesse.

La Società metterà a tua disposizione meccanismi (automatici o manuali) per aiutarti a conformarti a tali richieste vincolanti.

Nella misura richiesta dalle Leggi applicabili in materia di protezione dei dati, la Società manterrà un registro delle attività di trattamento svolte per tuo conto e, su richiesta, ti fornirà i registri necessari a dimostrare la conformità a tali obblighi di legge.

Trasferimenti transfrontalieri

La Società trasferirà i Dati personali ai propri Sub-responsabili del trattamento dallo Spazio economico europeo (SEE), dalla Svizzera e dal Regno Unito esclusivamente utilizzando i meccanismi leciti necessari a garantire che il relativo trasferimento transfrontaliero sia conforme alle Leggi applicabili in materia di protezione dei dati, quali: (i) il trasferimento verso Paesi riconosciuti dal SEE come in grado di garantire un livello adeguato di protezione dei Dati personali; (ii) il Data Privacy Framework UE-USA e le relative estensioni applicabili; (iii) le Clausole Contrattuali Standard dell’UE, Modulo 2 o Modulo 3 (a seconda dei casi) (le “SCC”), approvate dalla Decisione di esecuzione (UE) 2021/914 della Commissione europea del 4 giugno 2021 relativa alle clausole contrattuali tipo per il trasferimento di dati personali verso Paesi terzi ai sensi del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio; (iv) qualsiasi altro meccanismo approvato.

Nella misura in cui il meccanismo applicabile per il trasferimento transfrontaliero sia costituito dalle SCC, le parti convengono di incorporarle nel presente DPA alle seguenti condizioni:

Clausola 7: non si applicherà;
Clausola 9: si applicherà l’opzione 1;
Clausola 17: per “Stato membro dell’UE” si intenderà l’Irlanda;
Clausola 18: per “Stato membro dell’UE” si intenderà l’Irlanda.

Per i trasferimenti al di fuori del Regno Unito o della Svizzera, le modifiche obbligatorie applicabili si applicheranno, mutatis mutandis.

Risoluzione

Su tua richiesta scritta, la Società eliminerà il tuo Account, inclusi tutti i Dati personali in esso archiviati, ad eccezione di:

qualsiasi dato conservato dalla Società nella misura richiesta dalla legge;
qualsiasi dato conservato dalla Società nell’ambito delle proprie procedure automatiche di backup, che viene eliminato a intervalli prestabiliti.

Nella misura in cui i Dati personali siano conservati a seguito della risoluzione del presente DPA in conformità alle eccezioni di cui sopra, essi resteranno soggetti ai termini del presente DPA e non saranno accessibili né utilizzati per alcuna altra finalità fino alla loro eliminazione dai sistemi.

Termini specifici relativi alle leggi statali degli Stati Uniti

I seguenti termini si applicano ai Dati personali provenienti dagli Stati Uniti:

A scanso di equivoci, le definizioni di “Dati personali”, “Interessato”, “Titolare del trattamento” e “Responsabile del trattamento” includono rispettivamente le definizioni di “Personal Information”, “Consumer”, “Business” e “Service Provider”, come definite nel California Consumer Privacy Act del 2018 (CCPA), come modificato dal California Privacy Rights Act del 2020 (CPRA). Inoltre, i termini “Sell” e “Share” avranno il significato loro attribuito ai sensi del CCPA.

La Società non potrà:

vendere o condividere i Dati personali;
utilizzare i Dati personali per finalità diverse dalle finalità aziendali specificate nel presente DPA o al di fuori delle attività di trattamento dei dati specificate nel presente DPA;
combinare i Dati personali ricevuti da te o per tuo conto con qualsiasi altra informazione raccolta dalla Società al di fuori dei Servizi;
avvalersi di qualsiasi altra parte per assistere o partecipare al trattamento dei Dati personali senza informarti in conformità al presente DPA.

Hai il diritto di: (a) verificare che il trattamento dei Dati personali sia conforme al presente DPA; (b) adottare misure ragionevoli, come definite nella Sezione 5 (Audit), per assicurarti che la Società utilizzi i Dati personali in modo conforme ai propri obblighi ai sensi del presente DPA o del CCPA; e (c) in caso di utilizzo non autorizzato dei Dati personali, risolvere il presente DPA, previa comunicazione scritta alla Società, ed eliminare il tuo Account e i tuoi Dati personali.

La Società riconosce di comprendere e rispettare i requisiti previsti dalle Leggi applicabili in materia di protezione dei dati quando i Dati personali provengono dagli Stati Uniti, comprese tutte le limitazioni vincolanti applicabili.

Disposizioni generali

La Società ti informerà qualora non sia più in grado di adempiere ai propri obblighi ai sensi del presente DPA o delle Leggi applicabili in materia di protezione dei dati.

La Società potrà modificare periodicamente i termini del presente DPA pubblicando sul proprio sito web la relativa versione aggiornata del DPA. Continuando a utilizzare i Servizi dopo la pubblicazione del DPA aggiornato, accetti i termini del DPA modificato.

Qualora una qualsiasi disposizione del presente DPA sia ritenuta da un tribunale competente invalida, illecita, nulla o, per qualsiasi motivo, inapplicabile, tale disposizione sarà considerata separabile e non pregiudicherà la validità e l’applicabilità delle restanti disposizioni.

A scanso di equivoci e nella misura consentita dalla legge applicabile, qualsiasi responsabilità ai sensi del presente DPA, comprese le relative limitazioni, sarà disciplinata dalle pertinenti disposizioni dei Termini di servizio della Società.

Il presente DPA è stato redatto in lingua inglese e può essere tradotto in altre lingue per tua comodità. Qualora una versione tradotta (non in lingua inglese) del presente DPA sia in qualsiasi modo in conflitto con la versione in lingua inglese, prevarranno le disposizioni della versione in lingua inglese.

Allegato A: Dettagli del trattamento

Natura e finalità del trattamento. Possiamo utilizzare i Dati personali per le seguenti finalità (e per le attività correlate a tali finalità), il tutto in conformità all’Accordo e in modo proporzionato e rispettoso dei tuoi diritti alla privacy e di quelli dei tuoi Utenti degli Utenti:

fornirti i Servizi, anche tramite Sub-responsabili del trattamento;
agire in conformità alle tue istruzioni, anche fornendoti assistenza professionale, esclusivamente su tua richiesta, a condizione che tali istruzioni siano conformi ai termini del presente DPA e ai Servizi;
prevenire, indagare e mitigare i rischi e gli incidenti relativi alla sicurezza dei dati, nonché frodi, errori e/o attività illegali o vietate;
rispettare le leggi e i regolamenti applicabili.

Durata del trattamento. Determini la durata del trattamento in base alle tue esigenze e a tua esclusiva discrezione. La Società eliminerà i Dati personali in conformità ai termini del presente DPA, ai sensi della Sezione 9.

Tipologia di Dati personali. Fatti salvi i tuoi obblighi relativi alle limitazioni sui contenuti ai sensi del presente DPA e dell’Accordo, la tipologia, l’ambito e la natura dei Dati personali sono controllati e determinati esclusivamente da te nel rispetto delle Leggi applicabili in materia di protezione dei dati.

Categorie di Interessati. Fatti salvi i tuoi obblighi relativi alle limitazioni sui contenuti ai sensi del presente DPA e dell’Accordo, puoi trasmettere al Servizio Dati personali che possono includere, a titolo esemplificativo e non esaustivo, Dati personali relativi alle seguenti categorie di Interessati, il tutto sotto il tuo esclusivo controllo e determinato esclusivamente da te: (i) dipendenti attuali e potenziali, candidati, agenti, consulenti, liberi professionisti, partner commerciali e/o subappaltatori (e i rispettivi dipendenti, referenti, agenti, ecc.), che siano persone fisiche; (ii) i tuoi clienti attuali e potenziali e utenti finali (e i rispettivi dipendenti, referenti e agenti), che siano persone fisiche; e (iii) qualsiasi altro soggetto terzo con cui decidi di interagire tramite il Servizio.