Accordo sul trattamento dei dati

L’organizzazione cliente che gestisce un workspace newsroom è il titolare del trattamento. Entro314 Labs PC è il responsabile del trattamento. Il presente accordo ha effetto dal momento in cui il cliente accetta i Termini e dura per tutta l’esistenza del workspace. Non è necessaria alcuna firma separata perché sia vincolante; su richiesta viene rilasciata una copia cartacea controfirmata.

ErmisAI tratta dati personali per far funzionare il workspace newsroom sottoscritto dal cliente: monitoraggio delle fonti configurate, clustering della copertura, stesura delle storie, instradamento in revisione editoriale e consegna dell’output approvato ai canali di pubblicazione collegati dal cliente. Il trattamento dura per tutta la durata dell’abbonamento, più le finestre di transizione e cancellazione descritte nella pagina sulla portabilità dei dati e l’uscita.

Gli interessati sono i redattori, gli amministratori e i membri invitati del cliente, oltre a qualsiasi persona citata nel materiale di origine monitorato da una newsroom o nelle bozze scritte dai suoi redattori. Le categorie sono:

• dati identificativi e di account – nome, indirizzo email, ruolo, appartenenza al workspace,
• dati d’uso – azioni nel workspace, cronologia di storie e bozze, registri di audit,
• dati di contenuto – articoli di origine, cluster, bozze e storie approvate, inclusi i dati personali in essi citati,
• dati tecnici – indirizzo IP, metadati di dispositivo e browser raccolti nei log di sicurezza e di errore.

ErmisAI tratta i dati personali solo su istruzione documentata del cliente. I Termini, il presente accordo, le impostazioni di prodotto configurate dal cliente e le azioni compiute dai suoi redattori nel workspace costituiscono tali istruzioni. Se il diritto dell’Unione o di uno Stato membro impone a ErmisAI un trattamento ulteriore, ErmisAI ne informa il cliente prima di procedere, salvo che tale legge vieti la comunicazione. ErmisAI avvisa il cliente se un’istruzione appare violare la normativa sulla protezione dei dati.

Chiunque sia autorizzato a trattare i dati personali del cliente è vincolato alla riservatezza e accede solo a quanto il proprio lavoro richiede. L’accesso ai dati di produzione è limitato all’operatore del servizio ed è registrato.

ErmisAI mantiene misure tecniche e organizzative adeguate al rischio, tra cui cifratura in transito, archiviazione cifrata presso i provider di hosting, controllo degli accessi basato sui ruoli, isolamento dei tenant su ogni percorso di lettura e scrittura, verifica della firma sui webhook in ingresso e rate limiting. La pagina sulla sicurezza descrive le misure e dichiara apertamente ciò che non viene garantito.

Il cliente rilascia un’autorizzazione generale ai sub-responsabili elencati nella pagina dedicata, che indica ogni fornitore, il suo ruolo e la sua regione di trattamento. ErmisAI impone a ciascuno di essi obblighi equivalenti in materia di protezione dei dati e resta pienamente responsabile del loro operato. I sub-responsabili nuovi o sostituiti sono annunciati su quella pagina prima dell’inizio del trattamento e il cliente può opporsi per fondati motivi di protezione dei dati; un’opposizione non risolta dà al cliente il diritto di risolvere il servizio interessato senza penali.

Tenuto conto della natura del trattamento, ErmisAI assiste il cliente in merito a:

• il riscontro alle richieste degli interessati, compresi accesso, rettifica, cancellazione e portabilità – la maggior parte delle quali il cliente può gestire autonomamente dal workspace,
• la sicurezza del trattamento, la notifica delle violazioni e le valutazioni d’impatto sulla protezione dei dati,
• la consultazione preventiva dell’autorità di controllo, ove richiesta.

ErmisAI avvisa il cliente senza ingiustificato ritardo non appena viene a conoscenza di una violazione dei dati personali che interessa i dati di quel cliente, con le informazioni di cui il cliente ha bisogno per la propria notifica ai sensi dell’articolo 33, e fornisce aggiornamenti con il progredire dell’indagine.

ErmisAI mette a disposizione le informazioni necessarie a dimostrare la conformità all’articolo 28 e consente audit, comprese le ispezioni, svolti dal cliente o da un revisore da esso incaricato. Gli audit sono programmati con ragionevole preavviso, non più di una volta l’anno salvo che un incidente o un’autorità di controllo richiedano diversamente, e non devono compromettere la sicurezza degli altri clienti.

Il trattamento resta nell’Unione europea o nello Spazio economico europeo dove il fornitore lo prevede. Quando un sub-responsabile trasferisce dati fuori dal SEE, il trasferimento si fonda su una decisione di adeguatezza o sulle clausole contrattuali tipo della Commissione europea con misure supplementari. La pagina dei sub-responsabili indica la regione in cui opera ciascun fornitore.

Alla cessazione il cliente sceglie se i dati personali vengono restituiti o cancellati. I dati restano leggibili per il periodo di transizione descritto nella pagina sulla portabilità dei dati e sull’uscita, così da poter completare le esportazioni, e vengono poi cancellati, salvo quando il diritto dell’Unione o di uno Stato membro ne imponga la conservazione – i documenti di fatturazione sono il caso tipico.

In caso di conflitto tra il presente accordo e i Termini in materia di trattamento dei dati personali, prevale il presente accordo. Un accordo negoziato e sottoscritto con un cliente prevale su entrambi. Le modifiche sostanziali vengono pubblicate in questa pagina con una nuova data di efficacia e comunicate ai clienti con un abbonamento attivo.