Accordo sul trattamento dei dati

Traduzione di cortesia. In caso di discrepanza prevale la versione inglese, salvo diversa disposizione di legge inderogabile.

Il presente Accordo sul trattamento dei dati (il "DPA") è stipulato tra Welobadge, LLC, società a responsabilità limitata del Delaware con sede legale in 131 Continental Dr, Suite 305, Newark, DE 19713, Stati Uniti ("Welo"), e l'azienda che ha stipulato il Contratto di servizio per le aziende di Welo (l'"Azienda" (Business)). Esso costituisce parte del Contratto di servizio per le aziende (il "Contratto" (Agreement)).

Versione: 1.0. Data di efficacia: 5 novembre 2026.

1. Finalità e struttura

1.1 Welo fornisce i Servizi in due distinte qualità. Per alcune attività, Welo tratta dati personali per conto dell'Azienda e su sue istruzioni documentate, in qualità di responsabile del trattamento. Per altre attività, Welo determina autonomamente le finalità e i mezzi del trattamento e agisce in qualità di titolare del trattamento autonomo. Per una limitata attività (la raccolta di dati mediante il codice di Welo incorporato nel sito web dell'Azienda), le Parti possono essere contitolari del trattamento.

1.2 Il presente DPA: (a) individua quali attività rientrano in ciascuna categoria (Sezione 3 e Allegato I); (b) stabilisce le condizioni richieste dall'articolo 28 del regolamento (UE) 2016/679 (il "GDPR") e dal GDPR come parte del diritto del Regno Unito (il "GDPR UK") per le attività svolte in qualità di responsabile del trattamento (Sezioni da 4 a 13); (c) stabilisce le condizioni per le attività svolte in qualità di titolare del trattamento autonomo (Sezione 14); (d) stabilisce l'accordo richiesto dall'articolo 26 GDPR per l'attività svolta in regime di contitolarità (Allegato V); (e) disciplina i trasferimenti internazionali (Sezione 15 e Allegato IV); e (f) include le condizioni per le leggi statali statunitensi in materia di privacy (Allegato VI).

1.3 Il presente DPA si applica solo nella misura in cui la Normativa applicabile in materia di protezione dei dati si applica al trattamento. Quando essa non si applica, le Parti applicheranno comunque le Sezioni 5 (riservatezza), 7 (sicurezza) e 9 (incidenti) come impegni contrattuali.

2. Definizioni

• "Normativa applicabile in materia di protezione dei dati" (Applicable Data Protection Law) indica tutte le leggi sulla protezione dei dati personali applicabili al trattamento ai sensi del Contratto, compresi il GDPR, il GDPR UK e il Data Protection Act 2018 del Regno Unito, la legge federale svizzera sulla protezione dei dati, le leggi nazionali di recepimento della direttiva 2002/58/CE (la "direttiva ePrivacy"), il d.lgs. 196/2003 (Codice in materia di protezione dei dati personali) e successive modificazioni, e le leggi statali statunitensi sulla privacy dei consumatori, nella misura applicabile (compreso il California Consumer Privacy Act, come modificato, il "CCPA").
• "Dati personali del Cliente" (Customer Personal Data) indica i dati personali che Welo tratta in qualità di responsabile del trattamento per conto dell'Azienda ai sensi del presente DPA, come descritti nella Parte A dell'Allegato I.
• "Dati di titolarità di Welo" (Welo Controller Data) indica i dati personali che Welo tratta in qualità di titolare del trattamento autonomo, come descritti nella Parte B dell'Allegato I.
• "Violazione dei dati personali" (Personal Data Breach) indica una violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai Dati personali del Cliente trasmessi, conservati o comunque trattati da Welo o dai suoi Sub-responsabili.
• "Sub-responsabile del trattamento" (Sub-processor) indica qualsiasi terzo incaricato da Welo di trattare i Dati personali del Cliente.
• "Clausole contrattuali tipo" o "SCC" (Standard Contractual Clauses) indica le clausole contrattuali tipo approvate con la decisione di esecuzione (UE) 2021/914 della Commissione, e "Addendum UK" (UK Addendum) indica l'International Data Transfer Addendum alle SCC dell'UE emesso dall'Information Commissioner del Regno Unito ai sensi della sezione 119A del Data Protection Act 2018.
• "Titolare del trattamento", "responsabile del trattamento", "interessato", "dati personali", "trattamento" e "autorità di controllo" hanno il significato attribuito loro dal GDPR. "Fornitore di servizi (service provider)", "appaltatore (contractor)", "vendere (sell)" e "condividere (share)" hanno il significato attribuito loro dal CCPA.
• Gli altri termini con l'iniziale maiuscola hanno il significato attribuito loro nel Contratto.

3. Ruoli delle Parti

3.1 Attività svolte in qualità di responsabile del trattamento. Welo agisce in qualità di responsabile del trattamento per l'Azienda quando tratta Dati personali del Cliente per fornire i seguenti Servizi su richiesta dell'Azienda: (a) la conservazione degli elenchi di contatti caricati dall'Azienda per gli inviti a recensire; (b) l'invio di inviti a recensire e di solleciti a tali contatti per conto dell'Azienda, e la registrazione degli eventi di consegna, apertura e clic relativi a tali inviti; (c) la conservazione e il trattamento di eventuali dati di clienti o di ordini che l'Azienda fornisce mediante un'integrazione o un caricamento ai fini degli inviti a recensire o della verifica dell'acquisto; (d) la fornitura all'Azienda di report ed esportazioni relativi ai propri inviti; e (e) il trattamento dei dati personali contenuti nei Contenuti dell'Azienda che l'Azienda carica per le proprie finalità (ad esempio, foto del team), al fine di ospitarli secondo la configurazione dell'Azienda.

3.2 Attività svolte in qualità di titolare del trattamento autonomo. Welo agisce in qualità di titolare del trattamento autonomo, e non di responsabile del trattamento, quando tratta dati personali per le proprie finalità, tra cui: (a) la gestione, l'hosting, la moderazione, l'etichettatura, la verifica dell'autenticità e la pubblicazione di Recensioni e Risposte dell'Azienda, e il calcolo dei punteggi, anche una volta che il destinatario di un invito invii una Recensione; (b) le Valutazioni, la Certificazione, il monitoraggio e le verifiche periodiche ai sensi del Welo Trust Standard, compresi i dati personali dei titolari, degli amministratori e dei rappresentanti dell'Azienda e i dati personali contenuti nelle prove; (c) l'amministrazione degli account, l'autenticazione, la gestione degli Utenti autorizzati, la fatturazione, l'assistenza e le comunicazioni con l'Azienda; (d) la sicurezza, la prevenzione delle frodi, il rilevamento degli abusi e l'integrità della Piattaforma, compresa la tenuta di elenchi globali di soppressione affinché una persona che abbia rifiutato gli inviti a recensire non sia nuovamente contattata tramite Welo; (e) l'analisi e il miglioramento dei Servizi mediante dati aggregati o pseudonimizzati; (f) l'adempimento di obblighi di legge e la risposta alle autorità; e (g) l'accertamento, l'esercizio o la difesa di diritti in sede giudiziaria. Il trattamento di Welo per tali finalità è descritto nella sua Informativa sulla privacy.

3.3 Passaggio da responsabile a titolare del trattamento. Quando una persona che ha ricevuto un invito clicca sul link dell'invito e invia una Recensione, i dati personali relativi a tale Recensione (compreso il fatto che la Recensione era stata invitata e collegata all'Azienda) diventano Dati di titolarità di Welo. L'Azienda riconosce che Welo non tratta le Recensioni su istruzione dell'Azienda e che l'Azienda non può dare istruzioni a Welo di modificare, trattenere o cancellare Recensioni autentiche.

3.4 Attività in contitolarità. Nella misura in cui il codice del Badge o del widget fornito da Welo e incorporato dall'Azienda nel proprio sito web raccoglie dati personali dei visitatori di tale sito (quali identificativi pseudonimi del browser, URL delle pagine, referrer e user agent) e li trasmette a Welo, l'Azienda e Welo sono contitolari del trattamento relativamente alla raccolta e alla trasmissione di tali dati, e Welo è titolare del trattamento autonomo del loro successivo trattamento per le proprie finalità (quali metriche di visualizzazione, misurazione dell'utilizzo del piano e prevenzione delle frodi). Si applica l'accordo di cui all'Allegato V.

3.5 Nessun'altra attribuzione. Nulla nel presente DPA rende Welo responsabile del trattamento per attività non elencate nella Sezione 3.1 e nell'Allegato I, Parte A.

4. Trattamento su istruzioni documentate

4.1 Welo tratterà i Dati personali del Cliente soltanto su istruzione documentata dell'Azienda, anche in caso di trasferimento verso un paese terzo, salvo che lo richieda il diritto dell'Unione o degli Stati membri (o, ai sensi del GDPR UK, il diritto interno) cui Welo è soggetta; in tal caso, Welo informerà l'Azienda di tale obbligo giuridico prima del trattamento, a meno che tale diritto vieti tale informazione per rilevanti motivi di interesse pubblico.

4.2 Le istruzioni dell'Azienda sono: (a) il presente DPA e il Contratto; (b) la configurazione e l'utilizzo dei Servizi da parte dell'Azienda (ad esempio, il caricamento di un elenco di contatti e l'avvio di una campagna di inviti); e (c) eventuali ulteriori istruzioni scritte concordate dalle Parti e coerenti con il Contratto. Le istruzioni aggiuntive che richiedono modifiche sostanziali ai Servizi possono essere soggette a Corrispettivi aggiuntivi o essere rifiutate.

4.3 Welo informerà immediatamente l'Azienda qualora, a suo parere, un'istruzione violi la Normativa applicabile in materia di protezione dei dati. Welo non è tenuta a fornire consulenza legale all'Azienda e può sospendere l'esecuzione dell'istruzione fino a quando non sia confermata o modificata.

4.4 Responsabilità dell'Azienda. L'Azienda è responsabile: (a) della liceità della raccolta dei Dati personali del Cliente e della loro comunicazione a Welo; (b) di disporre di una valida base giuridica per ciascun trattamento che dispone, compreso l'invio di inviti a recensire, e di rispettare la direttiva ePrivacy e le leggi in materia di spam e telemarketing nella misura in cui si applicano a tali inviti; (c) di fornire agli interessati le informazioni richieste dagli articoli 13 e 14 GDPR in merito alla comunicazione dei loro dati a Welo per gli inviti a recensire; (d) dell'esattezza dei Dati personali del Cliente; e (e) di garantire che le proprie istruzioni siano conformi alla Normativa applicabile in materia di protezione dei dati.

5. Riservatezza

Welo garantirà che le persone autorizzate al trattamento dei Dati personali del Cliente (compresi dipendenti, collaboratori e Sub-responsabili) si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza, e che l'accesso sia limitato a coloro che ne hanno necessità per fornire i Servizi.

6. Dettagli del trattamento

L'oggetto, la durata, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati sono descritti nell'Allegato I. La durata del trattamento è la durata del Contratto più il periodo fino alla cancellazione ai sensi della Sezione 12.

7. Sicurezza del trattamento

7.1 Tenuto conto dello stato dell'arte, dei costi di attuazione, nonché della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, Welo metterà in atto e manterrà misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, come richiesto dall'articolo 32 GDPR, comprese le misure descritte nell'Allegato II.

7.2 Welo può aggiornare le misure di cui all'Allegato II, a condizione che gli aggiornamenti non comportino una riduzione sostanziale del livello complessivo di protezione.

7.3 L'Azienda è responsabile della sicurezza delle credenziali del proprio Account, dei propri dispositivi e dei propri sistemi, della configurazione appropriata dei Servizi e della sicurezza dei Dati personali del Cliente durante il transito verso Welo attraverso canali da essa controllati.

8. Sub-responsabili del trattamento

8.1 Autorizzazione generale. L'Azienda concede a Welo un'autorizzazione generale a ricorrere a Sub-responsabili. I Sub-responsabili incaricati alla data di efficacia sono elencati nell'Allegato III.

8.2 Comunicazione delle modifiche. Welo manterrà un elenco aggiornato dei Sub-responsabili nell'Allegato III del presente DPA, come pubblicato in questa pagina, e informerà l'Azienda di qualsiasi aggiunta o sostituzione prevista di un Sub-responsabile con un preavviso di almeno quindici (15) giorni, tramite email al titolare dell'Account o mediante un meccanismo di notifica al quale l'Azienda può iscriversi, dando così all'Azienda la possibilità di opporsi. In caso di sostituzione urgente necessaria per mantenere la sicurezza o la continuità dei Servizi, Welo può dare un preavviso più breve, indicandone il motivo.

8.3 Opposizione. L'Azienda può opporsi, per motivi ragionevoli connessi alla protezione dei dati, mediante comunicazione scritta entro il periodo di preavviso. Le Parti discuteranno l'opposizione in buona fede. Se Welo non può fornire un'alternativa ragionevole, l'Azienda può, quale unico rimedio, recedere dal Servizio interessato mediante comunicazione scritta, e Welo rimborserà i Corrispettivi prepagati per il periodo non utilizzato di tale Servizio.

8.4 Obblighi dei Sub-responsabili. Welo imporrà a ciascun Sub-responsabile, per contratto, obblighi in materia di protezione dei dati che prevedano almeno lo stesso livello di protezione di quelli del presente DPA, in particolare garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate. Qualora un Sub-responsabile ometta di adempiere ai propri obblighi in materia di protezione dei dati, Welo rimane pienamente responsabile nei confronti dell'Azienda dell'adempimento degli obblighi di tale Sub-responsabile, fatto salvo il Contratto.

8.5 Copie. Su richiesta, Welo fornirà le pertinenti clausole in materia di protezione dei dati di un contratto con un Sub-responsabile, che possono essere oscurate per proteggere informazioni commerciali riservate.

9. Violazioni dei dati personali

9.1 Welo informerà l'Azienda senza ingiustificato ritardo dopo essere venuta a conoscenza di una Violazione dei dati personali che riguardi i Dati personali del Cliente e, in ogni caso, con un anticipo sufficiente, ove ragionevolmente possibile, per consentire all'Azienda di adempiere ai propri obblighi di notifica ai sensi degli articoli 33 e 34 GDPR.

9.2 La notifica descriverà, per quanto noto: la natura della violazione, comprese le categorie e il numero approssimativo di interessati e di registrazioni in questione; le probabili conseguenze; le misure adottate o proposte per porre rimedio alla violazione e attenuarne gli effetti; e un punto di contatto. Qualora le informazioni non siano disponibili contestualmente, Welo le fornirà in fasi successive senza ulteriore ingiustificato ritardo.

9.3 Welo adotterà misure ragionevoli per contenere, indagare e porre rimedio alla violazione e presterà all'Azienda una ragionevole collaborazione. La notifica di una violazione non costituisce riconoscimento di colpa o di responsabilità.

9.4 L'Azienda è responsabile di decidere se notificare le autorità di controllo e gli interessati con riguardo ai Dati personali del Cliente. Welo non informerà gli interessati di una violazione dei Dati personali del Cliente per conto dell'Azienda senza istruzione dell'Azienda, salvo che la legge lo richieda.

10. Assistenza

10.1 Richieste degli interessati. Tenendo conto della natura del trattamento, Welo assisterà l'Azienda con misure tecniche e organizzative adeguate, nella misura del possibile, al fine di soddisfare l'obbligo dell'Azienda di dare seguito alle richieste di esercizio dei diritti degli interessati di cui al capo III GDPR con riguardo ai Dati personali del Cliente. Welo inoltrerà tempestivamente all'Azienda qualsiasi richiesta ricevuta che riguardi chiaramente i Dati personali del Cliente e non vi darà direttamente riscontro, salvo per confermarne la ricezione e reindirizzare il richiedente, a meno che non sia istruita o tenuta per legge a farlo. Le richieste relative alle Recensioni o ad altri Dati di titolarità di Welo saranno gestite da Welo in qualità di titolare del trattamento.

10.2 Altra assistenza. Tenendo conto della natura del trattamento e delle informazioni a disposizione di Welo, Welo presterà all'Azienda una ragionevole assistenza per garantire il rispetto degli articoli da 32 a 36 GDPR (sicurezza, notifica delle violazioni, valutazioni d'impatto sulla protezione dei dati e consultazione preventiva).

10.3 Costi. L'assistenza che eccede le funzionalità dei Servizi e le informazioni ragionevolmente a disposizione di Welo può essere soggetta a costi ragionevoli, concordati in anticipo, salvo che l'assistenza sia necessaria a causa di una violazione del presente DPA da parte di Welo.

11. Audit e informazioni

11.1 Welo metterà a disposizione dell'Azienda tutte le informazioni necessarie per dimostrare il rispetto dell'articolo 28 GDPR e del presente DPA, e consentirà e contribuirà alle attività di revisione, comprese le ispezioni, realizzate dall'Azienda o da un revisore indipendente da essa incaricato, in conformità alla presente Sezione 11.

11.2 L'Azienda concorda che il proprio diritto di audit sarà esercitato in primo luogo mediante l'esame della documentazione messa a disposizione da Welo, compresi il presente DPA, l'Allegato II, le risposte scritte a questionari di sicurezza ragionevoli (non più di una volta all'anno, salvo che si sia verificata una Violazione dei dati personali) e le eventuali certificazioni di terzi o i report di audit che Welo o i suoi Sub-responsabili detengono e sono autorizzati a condividere.

11.3 Quando le informazioni di cui alla Sezione 11.2 non sono sufficienti a dimostrare la conformità, o quando un audit sia richiesto da un'autorità di controllo o consegua a una Violazione dei dati personali, l'Azienda può condurre un audit con un preavviso scritto di almeno trenta (30) giorni, non più di una volta in qualsiasi periodo di dodici mesi (salvo che sia richiesto da un'autorità di controllo), durante il normale orario lavorativo, senza ingiustificata interruzione delle attività di Welo, nel rispetto degli obblighi di riservatezza e delle ragionevoli policy di sicurezza di Welo, e a spese dell'Azienda. Il revisore non deve essere un concorrente di Welo. Gli audit dei Sub-responsabili sono condotti facendo affidamento sulle informazioni che il Sub-responsabile mette a disposizione.

12. Restituzione e cancellazione

12.1 Al termine della prestazione dei Servizi resi in qualità di responsabile del trattamento, Welo, a scelta dell'Azienda, cancellerà o restituirà tutti i Dati personali del Cliente e cancellerà le copie esistenti, salvo che il diritto dell'Unione o degli Stati membri (o altra legge applicabile) preveda la conservazione dei dati personali.

12.2 Salvo che l'Azienda richieda la restituzione entro trenta (30) giorni dalla cessazione del Contratto, utilizzando le funzioni di esportazione disponibili nella dashboard o mediante richiesta scritta, Welo cancellerà i Dati personali del Cliente dai propri sistemi attivi entro novanta (90) giorni dalla cessazione del Contratto. Le copie presenti nei backup saranno cancellate in conformità ai cicli di rotazione dei backup di Welo e dei suoi Sub-responsabili e resteranno protette dal presente DPA fino alla cancellazione.

12.3 Welo può conservare i Dati personali del Cliente nella misura necessaria per adempiere a obblighi di legge o per accertare, esercitare o difendere diritti in sede giudiziaria, nel qual caso continuano ad applicarsi la Sezione 5 e la Sezione 7. Welo conserverà, in qualità di titolare del trattamento, i dati minimi di soppressione descritti nella Sezione 3.2(d).

12.4 La cancellazione dei Dati personali del Cliente non comprende i Dati di titolarità di Welo, quali le Recensioni pubblicate, che sono conservati in conformità all'Informativa sulla privacy e alla Policy di moderazione dei contenuti e ricorsi.

13. Attività svolte in qualità di responsabile del trattamento ai sensi delle leggi statali statunitensi sulla privacy

Quando il CCPA o un'altra legge statale statunitense sulla privacy dei consumatori si applica ai Dati personali del Cliente, si applicano le condizioni aggiuntive di cui all'Allegato VI.

14. Condizioni per il titolare del trattamento autonomo

14.1 Ciascuna Parte è autonomamente responsabile del proprio rispetto della Normativa applicabile in materia di protezione dei dati con riguardo ai dati personali che tratta in qualità di titolare del trattamento autonomo, compresi l'informazione agli interessati, la garanzia di una base giuridica, il riscontro alle richieste degli interessati e la notifica delle violazioni.

14.2 Quando l'Azienda fornisce a Welo dati personali che Welo tratta in qualità di titolare del trattamento autonomo (ad esempio, dati relativi ai propri titolari e rappresentanti ai fini di una Valutazione), l'Azienda garantisce di poter lecitamente fornire tali dati a Welo per tale finalità e di aver informato gli interessati della comunicazione, anche rinviandoli all'Informativa sulla privacy di Welo.

14.3 Quando Welo fornisce all'Azienda dati personali che l'Azienda tratta poi in qualità di titolare del trattamento autonomo (ad esempio, il nome pubblico di un recensore mostrato con una Recensione, o informazioni su un recensore condivise per aiutare a valutare una Segnalazione), l'Azienda tratterà tali dati solo per la finalità per cui sono stati forniti, nel rispetto della Normativa applicabile in materia di protezione dei dati, e non li utilizzerà per contattare, identificare, fare pressione o ritorcersi contro il recensore, salvo per rispondere attraverso i canali forniti da Welo.

14.4 Le Parti collaboreranno in buona fede, nella misura ragionevolmente necessaria, per dare riscontro alle richieste degli interessati e alle richieste delle autorità di controllo che riguardano entrambe le Parti.

15. Trasferimenti internazionali

15.1 Contesto. Welo è stabilita negli Stati Uniti. I Dati personali del Cliente sono conservati principalmente in un database ospitato nell'Unione europea (Supabase, regione AWS eu-central-1, Francoforte, Germania), ma sono consultati dagli Stati Uniti da Welo e possono essere trattati da Sub-responsabili negli Stati Uniti e in altri paesi, come descritto nell'Allegato III. Tale accesso costituisce un trasferimento di dati personali verso un paese terzo.

15.2 Meccanismi di trasferimento. Welo non trasferirà i Dati personali del Cliente al di fuori dello Spazio economico europeo, del Regno Unito o della Svizzera, salvo che il trasferimento sia conforme al capo V GDPR (o alle corrispondenti disposizioni del Regno Unito o della Svizzera). Nella misura in cui un trasferimento di Dati personali del Cliente dall'Azienda a Welo costituisca un trasferimento soggetto a restrizioni:

• (a) quando Welo è certificata ai sensi dell'EU-US Data Privacy Framework (e, per il Regno Unito, della UK Extension, e per la Svizzera, dello Swiss-US Data Privacy Framework) e il trasferimento rientra nell'ambito della sua certificazione, il trasferimento si baserà sulla pertinente decisione di adeguatezza;
• (b) in caso contrario, le SCC sono incorporate nel presente DPA per rinvio e si applicano come descritto nell'Allegato IV: Modulo Due (da titolare a responsabile del trattamento) per i Dati personali del Cliente, e Modulo Uno (da titolare a titolare del trattamento) per i dati personali che l'Azienda trasferisce a Welo in qualità di titolare autonomo o contitolare del trattamento;
• (c) per i trasferimenti soggetti al GDPR UK, si applica l'Addendum UK, completato come descritto nell'Allegato IV; e
• (d) per i trasferimenti soggetti al diritto svizzero, si applicano le SCC con gli adattamenti descritti nell'Allegato IV.

15.3 Trasferimenti successivi. Welo garantirà che i trasferimenti a Sub-responsabili in paesi terzi siano soggetti a un valido meccanismo di trasferimento, quale la certificazione del Sub-responsabile ai sensi del Data Privacy Framework o le SCC (Modulo Tre, da responsabile a responsabile del trattamento).

15.4 Valutazione d'impatto del trasferimento. Welo fornirà all'Azienda ragionevoli informazioni sulle leggi e sulle prassi degli Stati Uniti rilevanti per i trasferimenti, e sulle misure supplementari di cui all'Allegato II, per assistere l'Azienda nella valutazione dei trasferimenti. Welo informerà l'Azienda qualora abbia motivo di ritenere di essere o di essere divenuta soggetta a leggi o prassi che le impediscono di adempiere ai propri obblighi ai sensi delle SCC.

15.5 Il presente DPA non autorizza da solo alcun trasferimento. Il presente DPA non autorizza di per sé alcun trasferimento. I trasferimenti sono leciti soltanto quando si applica un valido meccanismo ai sensi del capo V GDPR e ne sono soddisfatte le condizioni.

15.6 Modifiche normative. Qualora un meccanismo di trasferimento sia invalidato, modificato o sostituito (anche se la Commissione europea adotta clausole contrattuali tipo specifiche per importatori già soggetti al GDPR ai sensi dell'articolo 3, paragrafo 2), le Parti collaboreranno in buona fede per attuare un meccanismo alternativo appropriato, e Welo può aggiornare di conseguenza l'Allegato IV previa comunicazione.

16. Responsabilità

La responsabilità di ciascuna Parte derivante dal presente DPA o ad esso connessa è soggetta alle limitazioni ed esclusioni previste nel Contratto, nella misura consentita dalla Normativa applicabile in materia di protezione dei dati. Nulla nel presente DPA limita la responsabilità di ciascuna Parte nei confronti degli interessati ai sensi dell'articolo 82 GDPR o delle SCC, né alcuna responsabilità che non possa essere limitata per legge.

17. Durata, prevalenza e modifiche

17.1 Il presente DPA rimane in vigore per tutto il tempo in cui Welo tratta Dati personali del Cliente o il Contratto è in vigore, se più lungo.

17.2 In caso di conflitto: (a) le SCC (e l'Addendum UK) prevalgono sul presente DPA e sul Contratto; (b) il presente DPA prevale sul Contratto e sulle altre Policy incorporate con riguardo al trattamento dei dati personali; e (c) l'Informativa sulla privacy è un'informativa e non prevale sul presente DPA.

17.3 Welo può aggiornare il presente DPA per tenere conto di modifiche normative, di orientamenti delle autorità di controllo, dei Servizi o dei Sub-responsabili, a condizione che l'aggiornamento non riduca sostanzialmente la protezione dei Dati personali del Cliente. Le modifiche sostanziali saranno comunicate in conformità al Contratto.

17.4 Il presente DPA è disciplinato dalla legge che disciplina il Contratto, salvo che la Normativa applicabile in materia di protezione dei dati o le SCC dispongano diversamente.

Allegato I. Descrizione del trattamento

Parte A. Attività svolte in qualità di responsabile del trattamento (Dati personali del Cliente)

Voce	Descrizione
Oggetto	Fornitura all'Azienda di funzioni di invito a recensire, di reportistica correlata e di hosting ai sensi del Contratto.
Natura del trattamento	Raccolta mediante caricamento o integrazione, conservazione, organizzazione, deduplicazione rispetto ai precedenti caricamenti dell'Azienda e all'elenco di soppressione di Welo, utilizzo per generare e inviare email di invito e solleciti, registrazione degli eventi di consegna e di interazione, reportistica, esportazione e cancellazione.
Finalità	Invitare i clienti dell'Azienda a lasciare su Welo una recensione relativa a un'esperienza genuina e fornire all'Azienda informazioni sulle proprie campagne di invito.
Categorie di interessati	Clienti e potenziali clienti dell'Azienda i cui dati sono caricati dall'Azienda; persone che compaiono nei Contenuti dell'Azienda caricati per le finalità dell'Azienda.
Tipi di dati personali	Nome; indirizzo email; numero di telefono (se fornito); riferimento e data dell'ordine o dell'interazione (se forniti); lingua; token di invito; eventi di consegna, apertura, clic e disiscrizione; dati tecnici relativi all'email di invito (ad esempio, indirizzo IP e user agent registrati al clic). Immagini di persone contenute nei Contenuti dell'Azienda.
Categorie particolari di dati	Nessuna prevista. L'Azienda non deve caricare categorie particolari di dati personali né dati relativi a condanne penali.
Frequenza	Continua per la durata del Contratto, su iniziativa dell'Azienda.
Durata e conservazione	Per la durata del Contratto, fatta salva la Sezione 12.
Sub-responsabili	Cfr. Allegato III.

Parte B. Attività svolte in qualità di titolare del trattamento autonomo (Dati di titolarità di Welo), a titolo informativo

Attività	Dati principali	Base giuridica tipica (GDPR)
Recensioni: invio, controlli di autenticità, moderazione, pubblicazione, punteggi	Nome o nome visualizzato del recensore, email, paese, testo e valutazione della recensione, contenuti multimediali, token di invito, IP sottoposto a hashing, user agent, tempi di compilazione del modulo, segnali di rischio, registri di moderazione	Art. 6, par. 1, lett. f) legittimo interesse a gestire una piattaforma di recensioni autentica; art. 6, par. 1, lett. b) per l'utilizzo del servizio da parte del recensore; art. 6, par. 1, lett. c) quando richiesto dalla legge
Valutazione, Certificazione e monitoraggio	Identità e ruolo di titolari, amministratori e rappresentanti; documenti e prove; corrispondenza; informazioni pubbliche	Art. 6, par. 1, lett. b) (contratto con l'Azienda, per quanto riguarda i suoi rappresentanti che agiscono per essa) e art. 6, par. 1, lett. f) legittimo interesse a una certificazione affidabile e alla tutela dei consumatori
Account, fatturazione e assistenza	Dati identificativi e di contatto degli Utenti autorizzati, eventi di accesso e di sicurezza, registri di fatturazione	Art. 6, par. 1, lett. b), c), f)
Sicurezza, prevenzione delle frodi ed elenchi di soppressione	Identificativi tecnici, segnali di rischio, registrazioni di opt-out	Art. 6, par. 1, lett. f), c)
Telemetria del Badge e del widget (dopo la raccolta)	Identificativi pseudonimi di visitatore e di sessione, URL di pagina e di referrer, user agent, eventi	Art. 6, par. 1, lett. f), fatto salvo l'eventuale consenso richiesto per l'archiviazione sul dispositivo ai sensi della direttiva ePrivacy (cfr. Allegato V)

Allegato II. Misure tecniche e organizzative

Le misure seguenti descrivono l'implementazione di Welo alla data di efficacia del presente DPA.

• Hosting e ubicazione dei dati: il database di produzione, l'autenticazione e l'archiviazione dei file sono forniti da Supabase e ospitati nella regione AWS eu-central-1 (Francoforte, Germania). L'applicazione è ospitata da Vercel.
• Cifratura in transito: HTTPS/TLS per le connessioni tra gli utenti e la Piattaforma e tra la Piattaforma e i suoi Sub-responsabili.
• Cifratura a riposo: cifratura dell'archiviazione fornita dai Sub-responsabili di hosting per i database e i file archiviati.
• Controllo degli accessi: accesso basato sui ruoli per gli amministratori di Welo, con ambiti di autorizzazione distinti; politiche di sicurezza a livello di riga nel database che limitano ciò che gli utenti anonimi e autenticati possono leggere; credenziali privilegiate conservate come segreti lato server e non esposte ai browser; accesso limitato al personale che ne ha bisogno per fornire i Servizi.
• Autenticazione: autenticazione degli account con verifica dell'indirizzo email.
• Registrazione e responsabilizzazione: registri di audit delle modifiche ai dati effettuate dagli amministratori o con l'assistenza dell'intelligenza artificiale, inclusi i valori precedenti e nuovi dei campi modificati; registri delle decisioni di moderazione; registri degli eventi di consegna delle email e dei webhook.
• Minimizzazione e pseudonimizzazione: gli indirizzi IP associati all'invio delle recensioni sono conservati in forma di hash; le prove private non sono pubblicate; gli identificativi analitici sono pseudonimi.
• Prevenzione degli abusi: limitazione della frequenza delle richieste, campi honeypot, rilevamento dei duplicati e valutazione del rischio sui moduli pubblici; limiti mensili agli inviti; esclusione globale dei destinatari che hanno revocato l'iscrizione.
• Monitoraggio: monitoraggio degli errori tramite Sentry per individuare e correggere i malfunzionamenti.
• Resilienza: backup del database forniti da Supabase.
• Personale: il personale e i collaboratori che hanno accesso ai dati personali sono vincolati da obblighi di riservatezza ai sensi della Sezione 5.
• Risposta agli incidenti: gli incidenti sospetti sono segnalati internamente, contenuti, analizzati e documentati, e le Aziende e le autorità sono informate come previsto dalla Sezione 9.
• Misure supplementari per i trasferimenti: residenza nell'UE del database principale; cifratura in transito; accesso limitato al personale che ne ha bisogno; Welo contesterà le richieste delle autorità pubbliche che ritenga illegittime o eccessive quando abbia motivi per farlo e ne informerà l'Azienda ove consentito.

Allegato III. Sub-responsabili del trattamento

Welo si avvale dei seguenti Sub-responsabili per le attività svolte in qualità di responsabile del trattamento descritte nell'Allegato I, Parte A. Welo mantiene aggiornato questo elenco in questa pagina ai sensi della Sezione 8.

Sub-responsabile	Funzione	Luogo del trattamento	Meccanismo di trasferimento
Supabase	Database, autenticazione, archiviazione dei file e funzioni server	Unione europea (AWS eu-central-1, Francoforte, Germania); il fornitore può accedere ai dati da altri paesi per assistenza e operazioni	Clausole contrattuali tipo o EU-US Data Privacy Framework, come previsto dalle condizioni sul trattamento dei dati del fornitore
Vercel	Hosting e distribuzione dell'applicazione	Stati Uniti e rete di distribuzione globale	Clausole contrattuali tipo o EU-US Data Privacy Framework, come previsto dalle condizioni sul trattamento dei dati del fornitore
Resend	Invio delle email di invito alle recensioni e delle email di servizio	Stati Uniti	Clausole contrattuali tipo o EU-US Data Privacy Framework, come previsto dalle condizioni sul trattamento dei dati del fornitore
Sentry	Monitoraggio degli errori; può trattare incidentalmente dati personali contenuti nei rapporti di errore	Stati Uniti	Clausole contrattuali tipo o EU-US Data Privacy Framework, come previsto dalle condizioni sul trattamento dei dati del fornitore

I fornitori di cui Welo si avvale esclusivamente per le proprie finalità in qualità di titolare del trattamento (ad esempio Stripe per i pagamenti, Mux per i video delle recensioni, Crisp per l'assistenza, OpenAI per le funzionalità assistite dall'intelligenza artificiale, i fornitori di analisi e di pubblicità e i fornitori di stampa e spedizione utilizzati per le attività di contatto proprie di Welo) non sono Sub-responsabili dei Dati personali del Cliente e sono descritti nell'Informativa sulla privacy.

Allegato IV. Condizioni per i trasferimenti internazionali

A. Clausole contrattuali tipo dell'UE

• Moduli: Modulo Due (da titolare a responsabile del trattamento) per i Dati personali del Cliente; Modulo Uno (da titolare a titolare del trattamento) per i dati personali trasferiti a Welo in qualità di titolare autonomo o contitolare del trattamento.
• Parti: esportatore dei dati: l'Azienda; importatore dei dati: Welo. Recapiti, firme e date: come indicati nel Contratto e nell'Account; l'accettazione del Contratto costituisce sottoscrizione delle SCC.
• Clausola 7 (clausola di adesione): non utilizzata.
• Clausola 9 (sub-responsabili del trattamento): Opzione 2 (autorizzazione scritta generale), con il periodo di preavviso indicato nella Sezione 8.2 del presente DPA.
• Clausola 11 (ricorso): il testo facoltativo non è utilizzato.
• Clausola 13 (vigilanza): quando l'Azienda è stabilita nell'UE, l'autorità di controllo dello Stato membro di stabilimento; quando l'Azienda non è stabilita nell'UE ma è soggetta al GDPR ai sensi dell'articolo 3, paragrafo 2, l'autorità di controllo dello Stato membro in cui è stabilito il suo rappresentante ai sensi dell'articolo 27, paragrafo 1, GDPR.
• Clausola 17 (diritto applicabile): il diritto dell'Irlanda.
• Clausola 18 (foro competente): i giudici dell'Irlanda.
• Allegati I.A, I.B, I.C e II delle SCC: completati dall'Allegato I, dall'Allegato II e dalla Sezione 1 del presente Allegato.
• Allegato III delle SCC: Allegato III del presente DPA.

B. Nota sugli importatori soggetti all'articolo 3, paragrafo 2, GDPR

Quando Welo è essa stessa soggetta al GDPR ai sensi dell'articolo 3, paragrafo 2, per un determinato trattamento, la Commissione europea ha indicato che le SCC del 2021 non sono concepite per tale scenario e che sono in preparazione clausole distinte; alla data di efficacia del presente DPA, tali clausole non sono state adottate. In attesa della loro adozione, le Parti fanno affidamento sulle SCC del 2021 come sopra descritto, nella misura applicabile, e attueranno le nuove clausole ai sensi della Sezione 15.6 quando disponibili.

C. Regno Unito

Per i trasferimenti soggetti a restrizioni ai sensi del GDPR UK, si applica l'Addendum UK (versione B1.0, in vigore dal 21 marzo 2022, come modificato). Tabella 1: i dati delle Parti sono quelli indicati nella Sezione A che precede. Tabella 2: le SCC UE approvate, con i moduli e le opzioni selezionati nella Sezione A. Tabella 3: gli Allegati come indicati nel presente DPA. Tabella 4: ciascuna Parte può porre fine all'Addendum UK come previsto dalla sua Sezione 19.

D. Svizzera

Per i trasferimenti soggetti alla legge federale svizzera sulla protezione dei dati, le SCC si applicano con i seguenti adattamenti: l'Incaricato federale della protezione dei dati e della trasparenza svizzero è l'autorità di controllo competente per tali trasferimenti; i riferimenti a "Stato membro" includono la Svizzera, in modo che gli interessati in Svizzera possano far valere i propri diritti nel luogo della loro residenza abituale; e i riferimenti al GDPR sono da intendersi come riferimenti alla legge federale svizzera sulla protezione dei dati, ove applicabile.

Allegato V. Accordo di contitolarità per il codice del Badge e del widget incorporato

1. Ambito. Il presente Allegato si applica alla raccolta di dati personali dei visitatori dei siti web dell'Azienda tramite il codice del Badge o del widget fornito da Welo e alla trasmissione di tali dati a Welo (il "Trattamento congiunto" (Joint Processing)). Ciascuna Parte è titolare del trattamento autonomo di qualsiasi trattamento anteriore o successivo al Trattamento congiunto.

2. Responsabilità dell'Azienda. In qualità di gestore del sito web in cui il codice è incorporato, l'Azienda è responsabile di: (a) decidere se incorporare il codice e in quali pagine; (b) fornire ai visitatori, tramite la propria informativa sulla privacy e il proprio banner dei cookie, informazioni sul componente Welo incorporato, sui dati raccolti, sulle finalità e un link all'Informativa sulla privacy di Welo; e (c) ottenere, quando richiesto dalla legge nazionale di recepimento dell'articolo 5, paragrafo 3, della direttiva ePrivacy o dalla Normativa applicabile in materia di protezione dei dati, il consenso del visitatore prima che il codice memorizzi o legga informazioni sul dispositivo del visitatore e prima che abbia luogo il Trattamento congiunto, e conservare una registrazione di tale consenso.

3. Responsabilità di Welo. Welo è responsabile di: (a) progettare il codice in modo che raccolga solo i dati descritti nell'Informativa sulla privacy di Welo; (b) fornire all'Azienda le informazioni necessarie per informare i visitatori; (c) fornire, ove tecnicamente fattibile, una configurazione o un'integrazione che consenta all'Azienda di impedire che il codice memorizzi identificativi o trasmetta dati fino all'ottenimento del consenso; (d) la sicurezza dei dati una volta ricevuti; e (e) dare riscontro alle richieste degli interessati relative ai dati detenuti da Welo.

4. Richieste degli interessati. Gli interessati possono esercitare i propri diritti nei confronti di ciascuna Parte. Ciascuna Parte inoltrerà all'altra, senza ingiustificato ritardo, qualsiasi richiesta che riguardi le responsabilità dell'altra Parte.

5. Contenuto essenziale dell'accordo. L'Azienda metterà a disposizione dei visitatori il contenuto essenziale del presente accordo, ad esempio nella propria informativa sulla privacy, come richiesto dall'articolo 26, paragrafo 2, GDPR. Welo lo pubblicherà nella propria Informativa sulla privacy.

6. Violazioni. Ciascuna Parte informerà l'altra senza ingiustificato ritardo di una violazione che riguardi il Trattamento congiunto.

Allegato VI. Condizioni previste dalle leggi statali statunitensi sulla privacy

Nella misura in cui il CCPA o un'altra legge statale statunitense sulla privacy dei consumatori si applica ai Dati personali del Cliente, Welo agisce in qualità di "fornitore di servizi (service provider)" o "responsabile del trattamento (processor)" e:

• (a) tratterà i Dati personali del Cliente soltanto per le finalità commerciali limitate e specificate descritte nell'Allegato I, Parte A;
• (b) non venderà né condividerà i Dati personali del Cliente;
• (c) non conserverà, utilizzerà né comunicherà i Dati personali del Cliente per alcuna finalità (compresa qualsiasi finalità commerciale) diversa dalle finalità commerciali specificate nel Contratto, né al di fuori del rapporto commerciale diretto tra le Parti, salvo quanto consentito dalla legge applicabile;
• (d) non combinerà i Dati personali del Cliente con dati personali che riceve da o per conto di un'altra persona, o che raccoglie dalla propria interazione con il consumatore, salvo quanto consentito dalla legge applicabile (anche per rilevare incidenti di sicurezza e prevenire frodi);
• (e) rispetterà gli obblighi applicabili e fornirà lo stesso livello di protezione della privacy richiesto dalla legge applicabile, e informerà l'Azienda qualora non sia più in grado di adempiere ai propri obblighi;
• (f) riconosce all'Azienda il diritto di adottare misure ragionevoli e appropriate per garantire che Welo utilizzi i Dati personali del Cliente in modo coerente con gli obblighi dell'Azienda, e di far cessare e porre rimedio a un utilizzo non autorizzato, in conformità alla Sezione 11; e
• (g) certifica di comprendere e di rispettare tali restrizioni.

Il trattamento proprio di Welo in qualità di titolare del trattamento autonomo (ad esempio, delle Recensioni) non è soggetto al presente Allegato.