Allegato Strumenti di terze parti e fornitori di dati

1. Scopo e ambito

Il presente Allegato identifica le categorie di servizi, strumenti e fornitori di dati di terze parti che possono essere utilizzati nell'ecosistema di Soufiane Boudarraja (l'"Ecosistema"). Il suo scopo è quello di fornire trasparenza e supportare la conformità al GDPR, incluso l'articolo 28 laddove Soufiane Boudarraja agisce in qualità di Responsabile del trattamento ai sensi di un Accordo sul trattamento dei dati ("DPA").

Il presente Allegato utilizza un approccio basato sulle categorie in modo che rimanga accurato anche se i fornitori specifici cambiano nel tempo. Un elenco aggiornato specifico per l'incarico delle entità specifiche utilizzate per elaborare i dati personali per un particolare Cliente può essere fornito su richiesta scritta.

2. Principi generali

L'utilizzo di servizi di terze parti è regolato dai principi seguenti:

• Neutralità degli strumenti:Selezioniamo gli strumenti in base al contesto del servizio e, ove pertinente, allo stack esistente del Cliente e alle sue istruzioni.

• Utilizzo indiretto:In alcuni casi il Cliente è il partner contrattuale diretto di un fornitore. Potremmo gestire gli account del Cliente come utente autorizzato per fornire i Servizi.

• Ruolo del sub-responsabile del trattamento: Le terze parti che elaborano i Dati del Cliente per nostro conto in relazione ai Servizi ai sensi di un DPA sono trattate come sub-responsabili del trattamento. Richiediamo accordi scritti che impongano obblighi di protezione dei dati almeno pari a quelli previsti dal DPA.

• Separazione dei dati: I dati del cliente non vengono condivisi o riutilizzati per un altro cliente. La separazione logica viene mantenuta anche quando lo stesso strumento viene utilizzato per più incarichi.

• Minimizzazione dei dati: Cerchiamo di limitare il trattamento dei dati personali a quanto necessario per l'erogazione del servizio, la sicurezza e l'assistenza.

3. Ruoli e applicabilità

Questo allegato riguarda le terze parti utilizzate in diversi ruoli legali:

• Contesto del responsabile del trattamento (servizi B2B ai sensi di un DPA): le terze parti che trattano i Dati del Cliente per nostro conto sono Subresponsabili del trattamento.

• Contesto del titolare del trattamento (le nostre attività aziendali): ad esempio, i visitatori dei nostri siti web, i clienti diretti che acquistano prodotti digitali prodotti o articoli POD, oppure iscritti alla newsletter. In questi casi, la nostra Informativa sulla privacy disciplina il trattamento dei dati e le terze parti agiscono come nostri responsabili del trattamento o titolari del trattamento indipendenti a seconda dello strumento.

• Strumenti controllati dal cliente: laddove il Cliente scelga e controlli uno strumento, il Cliente rimane responsabile della sua configurazione, dei termini di accettazione e della base giuridica, con il nostro supporto limitato all'esecuzione delle istruzioni documentate.

4. Categorie di strumenti e fornitori di dati di terze parti

La tabella seguente descrive le principali categorie di strumenti e fornitori di terze parti che possono essere utilizzati nell'Ecosistema. Gli strumenti specifici possono variare in base alla regione, al prodotto e al tipo di incarico.

Categoria

Funzione

Dati tipici elaborati

Ruolo tipico

Sito Web   piattaforma, hosting e distribuzione di contenuti

Ospitare e   distribuire siti Web, pagine e risorse scaricabili; Gestire le prestazioni e la sicurezza del sito.

Indirizzo IP, dati del dispositivo/browser, interazioni con le pagine, registri di accesso account/amministratore, invii di moduli, ove utilizzati.

Processore per noi (contesto del controller) o sub-processore (contesto del processore), a seconda dei dati e dell'interazione.

Servizi di dominio, DNS e certificati

Gestire domini, routing DNS e certificati di sicurezza.

Dati di registrazione del dominio, registri DNS, metadati di sicurezza.

Processore o controller indipendente a seconda del fornitore.

Analisi e misurazione

Misurazione dell'utilizzo e delle prestazioni del sito/app; approfondimenti sul pubblico; monitoraggio delle conversioni.

Identificatori online, dati del dispositivo/browser, dati degli eventi, posizione approssimativa, metriche aggregate; può includere lo stato del consenso.

Processore per noi (contesto del controller); potrebbe essere un sottoprocessore quando l'analisi viene eseguita all'interno di un coinvolgimento del cliente.

Gestione del consenso e controlli sulla privacy

Consenso ai cookie: banner, memorizzazione delle preferenze, registri di consenso, controllo dei tag.

Scelte di consenso, timestamp, dati del dispositivo/browser, identificatori anonimizzati.

Processore per noi (contesto del controller).

E-mail, messaggistica e infrastruttura di comunicazione

Invio e ricezione di comunicazioni transazionali e commerciali; newsletter; supporto   comunicazione.

Nomi, indirizzi email, contenuto del messaggio, metadati, registri di consegna.

Processore o   Subprocessore a seconda che venga utilizzato per le nostre operazioni o per un coinvolgimento del Cliente.

Strumenti di pianificazione e   riunione

Link di prenotazione,   pianificazione del calendario, inviti alle riunioni, conferenze.

Nomi, indirizzi email,   fuso orario, metadati della riunione, dettagli della chiamata se registrati dal   Cliente.

Processore o sub-processore a seconda del contesto; i fornitori di servizi di videoconferenza possono essere titolari del trattamento indipendenti per determinati dati.

Elaborazione e fatturazione dei pagamenti

Elaborazione di pagamenti, rimborsi, fatture, prevenzione delle frodi.

Identificativi di pagamento, indirizzo di fatturazione, metadati della transazione; non memorizziamo i dettagli completi della carta quando gestiti dai fornitori di servizi di pagamento.

Titolare del trattamento o processore indipendente a seconda del fornitore; In genere un controller indipendente per l'esecuzione dei pagamenti.

E-commerce, gestione degli ordini e evasione degli ordini (incluso il POD)

Gestione degli ordini, spedizione e produzione tramite partner di evasione ordini.

Dettagli dell'ordine, indirizzo di spedizione, dettagli di contatto, configurazione del prodotto; dati di servizio clienti limitati.

Processore per noi o controller indipendente a seconda del modello di adempimento.

Gestione delle relazioni con i clienti e strumenti di pipeline

Gestione di lead B2B, contatti, opportunità e cronologia delle interazioni.

Dati di contatto aziendali, registri delle comunicazioni, note, cronologia delle attività.

Processore per noi (contesto del controller) o sub-processore nelle interazioni con i clienti quando richiesto.

Arricchimento dei dati e servizi API esterni

Recuperare set di dati esterni per arricchire, convalidare o contestualizzare gli input forniti dal cliente (ad esempio dati aziendali, segnali commerciali pubblici).

Dati di contatto aziendali o dati a livello aziendale come indicato; metadati della richiesta API; possono includere dati personali a seconda del caso d'uso.

Sub-processore ove utilizzato nei rapporti con i clienti; altrimenti elaboratore per noi.

Archiviazione file,   collaborazione e strumenti per documenti

Archivia e   collabora su documenti, report, risultati e file di configurazione.

Dati del cliente   contenuti in documenti; registri di accesso; Cronologia delle versioni.

Sottoprocessore (contesto del processore) o processore (contesto del controller).

Monitoraggio delle prestazioni dell'applicazione (APM), registrazione e telemetria

Monitoraggio della stabilità, registrazione degli errori, sicurezza e prestazioni del servizio.

Registri degli errori, metadati del dispositivo/app, indirizzo IP, timestamp; possono includere identificatori limitati.

Sottoprocessore quando utilizzato per servizi rivolti al cliente; altrimenti processore per noi.

Piattaforme di IA e apprendimento automatico

Elabora gli input e genera output per funzionalità specifiche (riepiloghi, bozze, analisi) ove abilitato.

Input richiesti, frammenti di contenuto, metadati necessari per generare output; possono includere dati personali se forniti dal Cliente/utente.

Processore o sottoprocessore a seconda del contesto; L'utilizzo è regolato dalla Dichiarazione sull'IA e dagli accordi applicabili.

Piattaforme multimediali e di distribuzione

Ospitano e distribuiscono contenuti audio/video (podcast, video, embed).

Dati di riproduzione, dati del dispositivo/browser, indirizzo IP, analisi e segnali di coinvolgimento; dati dell'account/amministratore.

Tipicamente titolari del trattamento indipendenti per le analisi della piattaforma; possono essere responsabili del trattamento per funzioni limitate.

Consulenti professionali e servizi amministrativi

Supporto legale, contabile, di conformità e amministrativo.

Dati personali limitati incidentali a fatturazione, audit, controversie o attività di conformità.

Titolari del trattamento o responsabili del trattamento indipendenti a seconda dell'incarico.

5. Gestione e aggiornamenti dei sub-responsabili del trattamento

Manteniamo un registro interno dei fornitori specifici utilizzati per ogni incarico in cui agiamo come responsabili del trattamento. Il processo include:

• Mantenere un elenco specifico per l'incarico dei sub-responsabili del trattamento, inclusi il servizio fornito, la/le sede/i di trattamento ove note e la principale garanzia di trasferimento utilizzata, se applicabile.

• Fornire un elenco aggiornato dei sub-responsabili del trattamento specifici utilizzati per un incarico del Cliente su richiesta scritta.

• Fornire un preavviso ragionevole delle modifiche previste riguardanti l'aggiunta o la sostituzione dei sub-responsabili del trattamento     per impegni in corso, ove possibile.

• Consentire ai clienti di opporsi per motivi ragionevoli di      protezione dei dati, seguendo la procedura di opposizione prevista dal DPA.

6. Trasferimenti internazionali di dati

Se un fornitore terzo elabora dati personali al di fuori dello Spazio economico europeo (SEE), ci impegniamo a garantire una salvaguardia adeguata ai sensi del Capitolo V del GDPR. Le garanzie possono includere una decisione di adeguatezza, clausole contrattuali standard (SCC), norme vincolanti d'impresa (BCR) o altri meccanismi di trasferimento lecito.

Laddove siano richieste le SCC, vengono in genere utilizzate le SCC adottate dalla decisione di esecuzione (UE) 2021/914 della Commissione, con il/i modulo/i appropriato/i a seconda del rapporto.

7. Responsabilità del cliente

Laddove il Cliente ci incarichi di utilizzare strumenti specifici, fonti di dati o servizi di terze parti, o laddove il Cliente sia il partner contrattuale diretto di un fornitore, il Cliente rimane responsabile di:

• Accettare e rispettare i termini e le informative sulla privacy del fornitore, comprese le eventuali informative richieste all'utente finale.

• Garantire che le istruzioni siano lecite e coerenti con i requisiti di protezione dei dati e di e-privacy.

• Configurare conservazione, controlli di accesso,     e autorizzazioni in modo appropriato all'interno degli strumenti controllati dal Cliente.

• Informarci di eventuali restrizioni o     configurazioni proibite che si applicano agli account del Cliente o agli     strumenti.

8. Come richiedere l'elenco aggiornato dei fornitori

I clienti possono richiedere l'elenco aggiornato dei subappaltatori specifici utilizzati per il loro incarico inviando una richiesta tramite la nostra pagina di contatto (https://www.soufianeboudarraja.com/contact) con l'oggetto "Richiesta elenco subappaltatori". Per elaborare la richiesta in modo efficiente, includere il nome dell'incarico, il riferimento dell'ordine o il riferimento della dichiarazione di lavoro.

9. Modifiche al presente Allegato

Potremmo aggiornare il presente Allegato per riflettere le modifiche nelle categorie di strumenti, le modifiche ai fornitori e alle piattaforme, i requisiti legali o l'evoluzione dell'Ecosistema. Le modifiche sostanziali che influiscono sul trattamento ai sensi di un DPA attivo saranno comunicate in conformità con le procedure di notifica del DPA.

10. Contatti

Per domande relative a questo allegato, si prega di contattare Soufiane Boudarraja. Per inviare una domanda, utilizzare la nostra pagina di contatto: https://www.soufianeboudarraja.com/contact.

Per i dettagli relativi all'entità giuridica e all'indirizzo, consultare l'Impressum / Note legali sul nostro sito web.