Accordo sul trattamento dei dati personali (DPA)

1. Ambito

Il presente accordo ("DPA") integra i Termini e condizioni di moonbrand e ne costituisce parte integrante. Si applica quando un Utente Commerciale (cliente business, incluse agenzie e partner) carica nel Servizio dati personali di terzi, o collega account social che li contengono.

Per tali dati Blusail Technologies S.r.l.s., Via Atlantico 43/B, 74122 Taranto, P.IVA 03419820737 (il "Fornitore"), agisce quale responsabile del trattamento ai sensi dell’art. 28 del Regolamento (UE) 2016/679 ("GDPR"), per conto dell’Utente Commerciale, che agisce quale titolare.

Se l’Utente Commerciale tratta i dati per conto di propri clienti (ad esempio come agenzia), agisce quale responsabile e il Fornitore quale sub-responsabile. In questo caso l’Utente Commerciale garantisce di essere stato autorizzato dal proprio cliente a ricorrere al Fornitore alle condizioni del presente DPA.

L’accettazione dei Termini comporta l’accettazione del presente DPA. Per i dati di account, fatturazione, navigazione e sicurezza il Fornitore agisce quale titolare autonomo, come indicato nell’Informativa privacy. In materia di dati personali, in caso di contrasto con i Termini prevale il presente DPA.

2. Oggetto del trattamento

• Natura e finalità: esclusivamente l’erogazione del Servizio (generazione, modifica, pianificazione, pubblicazione e conservazione dei contenuti), la sicurezza e l’assistenza.
• Categorie di interessati: persone ritratte o menzionate nei contenuti; personale e clienti dell’Utente Commerciale; utenti che interagiscono con i canali social collegati.
• Categorie di dati: dati identificativi e di contatto; immagini e voce; testi, contenuti e relativi metadati; dati statistici dei canali social collegati.
• Dati particolari e giudiziari: non sono richiesti per l’uso del Servizio e non devono essere caricati.
• Durata: per tutta la durata dell’abbonamento, più il periodo di cancellazione indicato al punto 8.

3. Obblighi dell’Utente Commerciale

L’Utente Commerciale:

• è l’unico responsabile della liceità del trattamento, inclusi la base giuridica, le informative agli interessati, i consensi all’uso dell’immagine e della voce delle persone ritratte e le autorizzazioni a gestire gli account social collegati;
• impartisce le proprie istruzioni attraverso l’uso del Servizio e l’accettazione dei Termini; istruzioni ulteriori devono essere concordate per iscritto e possono comportare costi aggiuntivi;
• non carica dati particolari (art. 9 GDPR), dati giudiziari (art. 10 GDPR) o dati di minori privi delle necessarie autorizzazioni;
• tiene indenne il Fornitore da qualsiasi pretesa derivante dalla violazione dei presenti obblighi.

4. Obblighi del Fornitore

Il Fornitore:

• tratta i dati solo su istruzione documentata dell’Utente Commerciale, costituita dai Termini, dal presente DPA e dall’uso del Servizio, salvo obblighi di legge; informa l’Utente Commerciale se ritiene che un’istruzione violi la normativa;
• vincola alla riservatezza le persone autorizzate al trattamento;
• adotta misure tecniche e organizzative adeguate ai sensi dell’art. 32 GDPR, descritte al punto 7;
• assiste l’Utente Commerciale, tenuto conto della natura del trattamento e nei limiti delle funzionalità del Servizio, nel dare seguito alle richieste degli interessati e negli adempimenti degli artt. 32–36 GDPR; l’assistenza che eccede le funzionalità standard può essere addebitata;
• notifica all’Utente Commerciale le violazioni dei dati personali senza ingiustificato ritardo dopo esserne venuto a conoscenza;
• alla cessazione del Servizio cancella i dati secondo il punto 8;
• mette a disposizione, su richiesta scritta, le informazioni necessarie a dimostrare il rispetto dell’art. 28 GDPR. Le verifiche si svolgono di norma tramite documentazione e questionari; ispezioni sono ammesse solo se richieste da un’autorità di controllo o in caso di violazione accertata, con preavviso ragionevole e a spese dell’Utente Commerciale.

5. Sub-responsabili

L’Utente Commerciale concede al Fornitore un’autorizzazione generale a ricorrere a sub-responsabili. L’elenco aggiornato è riportato nell’Informativa privacy (moonbrand.app/privacy).

Il Fornitore comunica le aggiunte o sostituzioni di sub-responsabili aggiornando l’elenco con almeno 15 giorni di anticipo. Entro tale termine l’Utente Commerciale può opporsi per motivi ragionevoli; se le parti non trovano una soluzione, l’unico rimedio dell’Utente Commerciale è la disdetta dell’abbonamento senza penali.

Il Fornitore impone ai sub-responsabili obblighi di protezione dei dati equivalenti a quelli del presente DPA.

6. Trasferimenti fuori dallo Spazio economico europeo

Alcuni sub-responsabili sono stabiliti fuori dal SEE. I trasferimenti avvengono sulla base di una decisione di adeguatezza della Commissione europea (incluso l’EU-US Data Privacy Framework per i fornitori certificati) o di Clausole Contrattuali Standard, come indicato per ciascun fornitore nell’Informativa privacy.

7. Misure di sicurezza

• Accesso ai sistemi tramite autenticazione, con privilegi minimi e accessi amministrativi limitati al personale autorizzato.
• Separazione logica dei dati tra account e Brand.
• Registrazione degli accessi e monitoraggio dei sistemi.
• Utilizzo di fornitori di infrastruttura dotati di certificazioni di sicurezza riconosciute.

8. Cancellazione dei dati

Su richiesta scritta dell’Utente Commerciale, inviata all’indirizzo indicato al punto 11, il Fornitore cancella i dati personali trattati per suo conto entro 30 giorni dal ricevimento della richiesta e ne dà conferma per iscritto, salvo obblighi di conservazione previsti dalla legge.

In assenza di richiesta, i dati sono cancellati entro 12 mesi dalla cessazione dell’abbonamento.

9. Responsabilità

La responsabilità del Fornitore derivante dal presente DPA è soggetta ai limiti previsti dai Termini, salvo quanto inderogabilmente previsto dalla legge.

10. Modifiche

Il Fornitore può aggiornare il presente DPA per adeguamenti normativi o del Servizio, pubblicandone la nuova versione con la data di aggiornamento. Le modifiche sostanziali sono comunicate agli Utenti Commerciali con almeno 15 giorni di preavviso.

11. Contatti

Per richieste relative al trattamento dei dati: blusailtechnologies@pec.it