Accordo sul trattamento dei dati

Ambito di applicazione

Il presente accordo sul trattamento dei dati («DPA») stabilisce come OPALITH SAS, con sede legale in 254 rue Vendôme, 69003 Lyon, France (RCS Lyon 991 600 156), tratta i dati personali per conto dei suoi clienti quando utilizzano rdv.dev, come previsto dall'articolo 28 del Regolamento generale sulla protezione dei dati («GDPR»).

Fa parte dei termini di servizio e si applica automaticamente a ogni cliente che li accetta, senza bisogno di una firma separata. Le parole definite nei termini di servizio (Servizio, Workspace, Proprietario, Host, Ospite, Agente) hanno qui lo stesso significato. In caso di contrasto tra il presente DPA e i termini di servizio riguardo ai dati personali trattati per tuo conto, prevale il presente DPA.

Ruoli

• Tu, il cliente, sei il titolare del trattamento dei dati personali trattati per tuo conto nel tuo workspace: i dati dei tuoi ospiti e i dati dei tuoi membri quando utilizzano il Servizio per la tua impresa (i loro tipi di evento, la disponibilità, le prenotazioni e i collegamenti ai calendari, come configurati nel tuo workspace).
• OPALITH SAS è il tuo responsabile del trattamento per tali dati e li tratta al solo scopo di fornirti il Servizio.
• OPALITH SAS è titolare del trattamento dei dati che tratta per finalità proprie: account e accesso, sicurezza, fatturazione e il suo rapporto con te. Tale trattamento è descritto nell'informativa sulla privacy e non rientra nel presente DPA.

Dettagli del trattamento

Oggetto

Fornitura del Servizio: pagine di prenotazione, disponibilità, prenotazioni, eventi di calendario, conferme e promemoria, brand, e l'API pubblica, il server MCP e i webhook.

Durata

Per tutta la durata del contratto, poi per il periodo di recupero di 30 giorni descritto nei termini di servizio, quindi la cancellazione (vedi Cancellazione o restituzione).

Natura

Raccolta tramite le pagine di prenotazione e l'API, conservazione, organizzazione, consultazione, lettura in tempo reale della disponibilità dei calendari, scrittura di eventi di calendario, trasmissione via email, SMS, API e webhook, e cancellazione.

Finalità

Consentire ai tuoi ospiti di prenotare, spostare e annullare incontri con i tuoi host; informare ospiti e host; mantenere aggiornati i calendari dei tuoi host; e dare alle tue integrazioni e ai tuoi agenti accesso ai tuoi dati di pianificazione.

Interessati

I tuoi ospiti (ad esempio potenziali clienti, clienti, candidati e partner); i tuoi membri e host; le persone che inviti nel tuo workspace.

Dati personali

Ospiti: nome, indirizzo email, fuso orario, lingua, note e risposte fornite al momento della prenotazione, dettagli dell'incontro e, solo se l'ospite richiede i promemoria via SMS, numero di cellulare e consenso. Membri: nome, indirizzo email, ruolo, tipi di evento, orari settimanali, orari occupati (letti in tempo reale, non conservati), identificativi degli eventi di calendario scritti per loro. Visitatori delle pagine di prenotazione: indirizzo IP, trattato per la sicurezza e la limitazione della frequenza delle richieste.

Categorie particolari

Nessuna prevista. Non chiedere agli ospiti dati sensibili, come informazioni sulla salute, nelle domande di prenotazione.

Le tue istruzioni

• Trattiamo i dati personali soltanto su tua istruzione documentata. Le tue istruzioni sono i termini di servizio, il presente DPA, il modo in cui configuri e utilizzi il Servizio e qualsiasi ulteriore istruzione scritta che invii a hello@rdv.dev e che il Servizio possa ragionevolmente eseguire.
• Ti informiamo se, a nostro parere, un'istruzione viola il GDPR o un'altra normativa sulla protezione dei dati.
• Se il diritto dell'Unione europea o il diritto francese ci impone di trattare i dati in altro modo, te ne informiamo prima di farlo, salvo che tale diritto lo vieti.

Riservatezza

Solo le persone che hanno bisogno dei dati per far funzionare il Servizio possono accedervi. Ciascuna di esse è vincolata da un obbligo di riservatezza, contrattuale o legale.

Misure di sicurezza

Proteggiamo i dati personali con misure tecniche e organizzative adeguate al rischio, tra cui:

• Ubicazione. Il database e le funzioni dell'applicazione si trovano a Francoforte (Germania).
• Cifratura. Cifratura in transito (TLS) per ogni connessione, e cifratura a riposo da parte dei nostri fornitori di database e di archiviazione dei file.
• Controllo degli accessi. Ogni azione nel Servizio verifica, sul server, chi la richiede e cosa consente il suo ruolo nel workspace. L'accesso ai sistemi di produzione è limitato alle persone che gestiscono il Servizio.
• Segreti. Password, link di gestione degli ospiti, segreti degli inviti e chiavi API sono conservati solo come hash. I token OAuth dei calendari sono custoditi da Nango e non raggiungono mai il nostro database né il nostro codice.
• Minimizzazione. Le informazioni libero/occupato dei calendari sono lette in tempo reale e non conservate; dai calendari Microsoft richiediamo solo l'inizio, la fine, lo stato libero/occupato e l'eventuale annullamento degli eventi. I numeri di telefono degli ospiti sono raccolti solo per i promemoria via SMS, previo consenso.
• Protezione dagli abusi. Limiti di frequenza delle richieste per account e per indirizzo IP sottoposto a hash; i siti web vengono scaricati tramite un sistema di trasporto protetto che rifiuta gli indirizzi di reti private.
• Resilienza. Backup gestiti del database con ripristino a un punto nel tempo; rimozione quotidiana dei dati scaduti.
• Revisione. Rivediamo queste misure quando il Servizio cambia, e almeno una volta all'anno.

Assistenza

Tenendo conto della natura del trattamento e delle informazioni a nostra disposizione, ti aiutiamo a:

• rispondere alle richieste delle persone che esercitano i propri diritti (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione). La maggior parte può essere gestita direttamente nel Servizio; se una richiesta arriva direttamente a noi, te la inoltriamo senza ingiustificato ritardo e non vi rispondiamo noi stessi, a meno che tu non ce lo chieda;
• adempiere ai tuoi obblighi di sicurezza;
• effettuare una valutazione d'impatto sulla protezione dei dati, o consultare un'autorità di controllo, quando il trattamento lo richiede.

Violazioni dei dati personali

Ti notifichiamo una violazione dei dati personali che riguarda i tuoi dati senza ingiustificato ritardo, e al più tardi 48 ore dopo esserne venuti a conoscenza, via email al proprietario del workspace. La notifica descrive, per quanto ci è noto in quel momento, la natura della violazione, le categorie e il numero approssimativo di persone e di registrazioni interessate, le sue probabili conseguenze e le misure adottate o proposte. La completiamo man mano che ne sappiamo di più e ti aiutiamo a effettuare la notifica all'autorità di controllo e alle persone interessate quando sei tenuto a farlo.

Sub-responsabili del trattamento

Ci concedi un'autorizzazione generale a ricorrere a sub-responsabili del trattamento. Attualmente sono:

• Stessi obblighi. Ogni sub-responsabile è vincolato da un contratto scritto che garantisce ai dati personali lo stesso livello di protezione del presente DPA. Restiamo responsabili nei tuoi confronti del loro operato.
• Modifiche. Informiamo i proprietari via email, e aggiorniamo questa pagina, almeno 30 giorni prima che un nuovo sub-responsabile inizi a trattare i tuoi dati.
• Diritto di opposizione. Entro questi 30 giorni puoi opporti per ragionevoli motivi legati alla protezione dei dati scrivendo a hello@rdv.dev. Cercheremo una soluzione insieme a te. Se non riusciamo a trovarla, puoi porre fine al contratto prima che la modifica si applichi, e ti rimborsiamo i corrispettivi pagati per il periodo successivo alla data di cessazione.

Google e Microsoft non sono nostri sub-responsabili: i tuoi host collegano i propri calendari, e Google e Microsoft agiscono nei loro confronti in base alle proprie condizioni.

Trasferimenti internazionali

I tuoi dati sono conservati nell'Unione europea. Quando un sub-responsabile si trova in un paese privo di una decisione di adeguatezza della Commissione europea, o è accessibile da un tale paese, il trasferimento si basa sul Data Privacy Framework UE-USA se il destinatario è certificato e, in caso contrario, sulle clausole contrattuali tipo adottate dalla Commissione europea (decisione 2021/914), insieme alle misure descritte di seguito.

Infrastruttura e accesso da parte delle autorità pubbliche

Dove si trovano i tuoi dati. Il database (Neon) e le funzioni dell'applicazione (Vercel) si trovano a Francoforte, in Germania. I file sono conservati da Vercel Blob e distribuiti tramite la rete globale di Vercel.

Chi sono i fornitori. Vercel, Neon, Nango, Mailtrap e Firecrawl sono società con sede negli Stati Uniti, e ClickSend ha sede in Australia. Le leggi di questi paesi possono consentire alle loro autorità di chiedere a tali fornitori i dati che detengono, anche quando sono conservati nell'Unione europea.

Cosa facciamo al riguardo.

• Cifratura. I dati sono cifrati in transito e a riposo.
• Minimizzazione. Ogni fornitore riceve solo ciò di cui ha bisogno per il suo compito. I token dei calendari non raggiungono mai il nostro database, le informazioni libero/occupato dei calendari non vengono mai conservate e i promemoria via SMS vengono inviati solo agli ospiti che li hanno richiesti.
• Richieste rivolte a noi. Se un'autorità al di fuori dell'Unione europea ci chiede i tuoi dati, verifichiamo che la richiesta sia legittima, la contestiamo quando ve ne sono i presupposti e comunichiamo solo il minimo legalmente richiesto.
• Informarti. Ti informiamo di tale richiesta prima di rispondere, salvo che la legge ce lo vieti.
• Fornitori. Scegliamo fornitori che si impegnano a fare lo stesso: contestare le richieste illegittime e informare i propri clienti quando possono legalmente farlo.

Cancellazione o restituzione alla fine del contratto

Alla cessazione del contratto, puoi esportare i tuoi dati durante il periodo di recupero di 30 giorni descritto nei termini di servizio. Trascorso tale periodo, cancelliamo i dati personali che trattiamo per tuo conto, salvo che il diritto dell'Unione europea o il diritto francese ci imponga di conservarli. I dati cancellati escono dalla cronologia di ripristino del nostro fornitore di database entro 30 giorni. Se elimini tu stesso il tuo workspace, la cancellazione è immediata. Su richiesta, confermiamo la cancellazione per iscritto.

Audit

• Mettiamo a tua disposizione le informazioni necessarie per dimostrare che rispettiamo i nostri obblighi ai sensi dell'articolo 28 del GDPR, a partire dal presente DPA e dalle risposte alle tue domande ragionevoli.
• Se ciò non è sufficiente, puoi verificare la nostra conformità tramite un audit una volta all'anno, con un preavviso scritto di almeno 30 giorni, durante l'orario lavorativo, a tue spese, direttamente o tramite un revisore indipendente vincolato alla riservatezza. Un audit non deve dare accesso ai dati di altri clienti né perturbare il Servizio.
• Puoi effettuare audit più frequenti se un'autorità di controllo lo richiede, o dopo una violazione dei dati personali che riguarda i tuoi dati.

Responsabilità e durata

Il presente DPA resta in vigore finché trattiamo dati personali per tuo conto. Nei rapporti tra te e noi, la clausola sulla responsabilità dei termini di servizio si applica al presente DPA, nella misura consentita dalla legge. Nulla in esso limita i diritti delle persone i cui dati sono trattati.

Contatti

Per qualsiasi questione relativa al presente DPA, scrivi a hello@rdv.dev. OPALITH SAS, 254 rue Vendôme, 69003 Lyon, France.