Accordo sul trattamento dei dati (DPA)

ai sensi dell’art. 28 del Regolamento generale sulla protezione dei dati dell’UE (GDPR)

Parti

tra il cliente della piattaforma PanelWave (l’autore o il suo team) — di seguito il «Titolare» —

e

PanelWave, Jens Hoppe
c/o RUFFINI Creative Hub
Sendlinger Straße 1
80331 München
Deutschland
E-mail: privacy@panelwave.org

— di seguito il «Responsabile» —

Premessa

Il Titolare utilizza la piattaforma software-as-a-service PanelWave (creazione, gestione, pubblicazione e distribuzione di graphic novel interattive, comprese le analisi dei lettori e la monetizzazione facoltativa nei confronti dei lettori). In tale contesto, il Responsabile tratta dati personali per conto del Titolare, in particolare dati dei lettori delle opere pubblicate dal Titolare. Il presente Accordo specifica gli obblighi delle parti in materia di protezione dei dati ai sensi dell’art. 28 del GDPR.

Il presente Accordo è concluso in formato elettronico e acquista efficacia come parte del contratto di servizio al momento della registrazione del Titolare sulla piattaforma o dell’accettazione dei Termini di servizio. Non è richiesta alcuna firma separata (art. 28, par. 9, del GDPR: il formato elettronico è sufficiente).

Per i dati personali relativi agli utenti registrati del Titolare stesso (dati dell’account e del profilo di autori e membri del team), PanelWave è il titolare del trattamento; tali dati sono disciplinati dall’Informativa sulla privacy e non dal presente Accordo.

§ 1 Oggetto e durata del trattamento

1. L’oggetto del trattamento è la fornitura dei servizi SaaS descritti nella Premessa in conformità al contratto di servizio.
2. La durata del trattamento corrisponde alla durata del contratto di servizio. Alla sua cessazione si applica il § 12.

§ 2 Natura, finalità e luogo del trattamento

1. La natura e la finalità del trattamento, le categorie di dati e le categorie di interessati sono indicate nell’Allegato 1.
2. Il trattamento, compresi database, storage a oggetti e backup, avviene in data center situati nell’Unione europea.
3. I trasferimenti verso paesi terzi avvengono solo tramite i sub-responsabili del trattamento elencati nell’Allegato 3 e solo in presenza di garanzie adeguate ai sensi del capo V del GDPR (decisione di adeguatezza, EU-U.S. Data Privacy Framework o clausole contrattuali tipo dell’UE).

§ 3 Responsabilità e obblighi del Titolare

1. Nell’ambito del presente Accordo, il Titolare è responsabile della liceità del trattamento e della tutela dei diritti degli interessati (art. 4, punto 7, e art. 24 del GDPR).
2. Il Titolare garantisce in particolare che i lettori siano informati ai sensi degli artt. 13 e 14 del GDPR, che siano acquisiti gli eventuali consensi necessari (ad esempio per le analisi di lettura, qualora il consenso sia la base giuridica prescelta: a tal fine il PanelWave Player mette a disposizione un meccanismo di consenso) e che i contenuti caricati sulla piattaforma non contengano dati personali di terzi in assenza di una base giuridica.
3. Le istruzioni del Titolare sono impartite di norma mediante l’utilizzo delle funzioni della piattaforma (configurazione, inserimento, cancellazione, esportazione); eventuali istruzioni ulteriori devono essere impartite in forma testuale.

§ 4 Obblighi del Responsabile

Il Responsabile:

1. tratta i dati personali soltanto su istruzione documentata del Titolare, salvo che lo richieda il diritto dell’Unione o dello Stato membro; in tal caso, il Responsabile informa il Titolare circa tale obbligo giuridico prima del trattamento, a meno che il diritto vieti tale informazione (art. 28, par. 3, lett. a), del GDPR);
2. informa immediatamente il Titolare qualora, a suo parere, un’istruzione violi il GDPR o altre disposizioni in materia di protezione dei dati;
3. garantisce che le persone autorizzate al trattamento dei dati personali si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza (art. 28, par. 3, lett. b), del GDPR);
4. adotta tutte le misure richieste ai sensi dell’art. 32 del GDPR (Allegato 2);
5. assiste il Titolare con misure tecniche e organizzative adeguate nel dare seguito alle richieste di esercizio dei diritti degli interessati (artt. da 12 a 23 del GDPR), in particolare mediante le funzioni di esportazione, rettifica e cancellazione integrate nella piattaforma;
6. assiste il Titolare nel garantire il rispetto degli obblighi di cui agli artt. da 32 a 36 del GDPR (sicurezza del trattamento, notifica delle violazioni, valutazione d’impatto sulla protezione dei dati, consultazione preventiva), tenendo conto della natura del trattamento e delle informazioni a disposizione del Responsabile;
7. notifica al Titolare le violazioni dei dati personali che riguardino i dati trattati per suo conto senza ingiustificato ritardo dopo esserne venuto a conoscenza, e fornisce le informazioni necessarie per una notifica ai sensi dell’art. 33 del GDPR, nella misura in cui siano disponibili;
8. mette a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui all’art. 28 del GDPR (§ 10);
9. tiene un registro delle attività di trattamento ai sensi dell’art. 30, par. 2, del GDPR;
10. non tratta per finalità proprie i dati che gli sono affidati. Sono escluse da tale divieto le analisi aggregate e anonimizzate, non riferibili a persone identificabili (ad esempio metriche di sistema e statistiche di utilizzo della piattaforma).

§ 5 Riservatezza

Il Responsabile vincola alla riservatezza tutte le persone coinvolte nel trattamento (compreso il personale di assistenza con accesso agli account). L’accesso dell’assistenza agli account dei clienti («impersonificazione») avviene esclusivamente ai fini della fornitura del servizio, richiede un motivo documentato, è limitato nel tempo, è interamente registrato e viene comunicato via e-mail al titolare dell’account interessato.

§ 6 Misure tecniche e organizzative (TOM)

1. Il Responsabile attua le misure tecniche e organizzative ai sensi dell’art. 32 del GDPR descritte nell’Allegato 2.
2. Le misure sono soggette al progresso tecnico. Il Responsabile può svilupparle ulteriormente, a condizione che il livello di protezione non venga ridotto.

§ 7 Sub-responsabili del trattamento

1. Il Titolare concede un’autorizzazione generale al ricorso ai sub-responsabili del trattamento elencati nell’Allegato 3 (art. 28, par. 2, del GDPR).
2. Il Responsabile informa il Titolare delle modifiche previste (aggiunta o sostituzione di sub-responsabili) con almeno 30 giorni di anticipo in forma testuale (ad esempio via e-mail o tramite un avviso nell’app) e pubblica su questa pagina l’elenco aggiornato dei sub-responsabili del trattamento.
3. Il Titolare può opporsi a una modifica entro 30 giorni per motivi rilevanti attinenti alla protezione dei dati. Se non si raggiunge una soluzione amichevole, ciascuna delle parti ha il diritto di recedere in via straordinaria dal contratto di servizio.
4. Il Responsabile impone a ciascun sub-responsabile del trattamento gli stessi obblighi in materia di protezione dei dati previsti dal presente Accordo (art. 28, par. 4, del GDPR) e conserva nei confronti del Titolare l’intera responsabilità dell’adempimento degli obblighi del sub-responsabile.

§ 8 Assistenza in relazione ai diritti degli interessati

1. Se un interessato si rivolge direttamente al Responsabile, quest’ultimo inoltra la richiesta al Titolare senza ingiustificato ritardo, nella misura in cui sia possibile attribuirla.
2. La piattaforma mette a disposizione del Titolare strumenti self-service, in particolare: esportazione delle opere e dei dati in un formato strutturato, di uso comune e leggibile da dispositivo automatico (artt. 15 e 20 del GDPR), rettifica dei contenuti (art. 16 del GDPR) e cancellazione di singoli dati e dell’intero account (art. 17 del GDPR), fatti salvi gli obblighi legali di conservazione.

§ 9 Notifiche

Il Responsabile invia le notifiche di cui al § 4, n. 7 (violazioni dei dati personali) e quelle relative ad altri incidenti rilevanti per il Titolare sotto il profilo della protezione dei dati all’indirizzo e-mail registrato nell’account del Titolare.

§ 10 Prova della conformità e diritti di audit

1. Il Responsabile dimostra il rispetto dei propri obblighi con mezzi adeguati, in particolare: documentazione aggiornata delle TOM, certificazioni e rapporti di audit dei propri fornitori di data center e cloud (ad esempio ISO 27001) e informazioni in forma testuale.
2. Il Titolare può inoltre effettuare audit direttamente o tramite un revisore vincolato alla riservatezza e non in concorrenza con il Responsabile: al massimo una volta all’anno e, in aggiunta, in presenza di indizi concreti di inadempimento, previo ragionevole preavviso e durante il normale orario di lavoro. Gli audit non devono pregiudicare l’operatività del Responsabile né i dati di altri clienti. Il Responsabile può addebitare un compenso ragionevole per gli audit in loco, salvo che l’audit sia dovuto a una violazione accertata degli obblighi.

§ 11 Responsabilità

La responsabilità delle parti è disciplinata dall’art. 82 del GDPR. Nei rapporti interni tra le parti si applicano inoltre le disposizioni in materia di responsabilità del contratto di servizio.

§ 12 Cancellazione e restituzione dopo la cessazione

1. Dopo la cessazione del contratto di servizio, il Responsabile cancella tutti i dati personali trattati per conto del Titolare al termine di un periodo di tolleranza di 30 giorni, salvo che il Titolare ne richieda prima la cancellazione. Durante il periodo di tolleranza, il Titolare può recuperare i dati tramite le funzioni di esportazione in un formato strutturato, di uso comune e leggibile da dispositivo automatico.
2. Sono esclusi dalla cancellazione i dati soggetti a obblighi legali di conservazione, in particolare i dati di fatturazione e contabili (8 anni per le fatture e i documenti contabili giustificativi, 10 anni per i libri contabili e i bilanci d’esercizio ai sensi del § 147 AO / GoBD). Tali dati sono bloccati, conservati esclusivamente per adempiere agli obblighi di conservazione e cancellati automaticamente alla scadenza del relativo periodo.
3. I backup vengono sovrascritti a rotazione; i dati contenuti nei backup sono cancellati al più tardi con il regolare ciclo di backup e non vengono ripristinati prima di allora, salvo che il ripristino sia necessario per recuperare l’operatività del sistema.

§ 13 Disposizioni finali

1. Si applica il diritto della Repubblica federale di Germania.
2. In caso di contrasto tra il presente Accordo e il contratto di servizio, in materia di protezione dei dati prevalgono le disposizioni del presente Accordo.
3. Qualora singole disposizioni siano invalide, la validità delle restanti disposizioni rimane impregiudicata.
4. Le modifiche e le integrazioni al presente Accordo richiedono la forma testuale. Il Responsabile può adeguare il presente Accordo con effetto per il futuro nella misura in cui ciò sia necessario a seguito di sviluppi normativi o tecnici; il Titolare ne sarà informato tempestivamente.

Allegato 1 — Oggetto del trattamento, categorie di dati, interessati

Finalità del trattamento

• hosting, gestione e pubblicazione delle graphic novel interattive del Titolare (opere, capitoli, vignette, asset)
• distribuzione delle opere pubblicate ai lettori tramite il PanelWave Player e una rete di distribuzione dei contenuti
• raccolta e aggregazione delle analisi di lettura (sessioni, visualizzazioni delle vignette, tempi di permanenza, scelte, completamento, funnel) per le dashboard del Titolare
• misurazione delle visualizzazioni dei contenuti bonus («extra») e delle interazioni di condivisione
• monetizzazione facoltativa nei confronti dei lettori: paywall, diritti di accesso acquistati e ripristino dell’accesso (l’elaborazione dei pagamenti in sé è effettuata dal fornitore di servizi di pagamento; il Titolare è il venditore, ossia il merchant of record)
• trattamento facoltativo, assistito dall’IA, dei contenuti forniti dal Titolare (importazione della sceneggiatura, suddivisione delle tavole, traduzione, sintesi vocale, upscaling delle immagini)

Categorie di interessati

• lettori e potenziali lettori delle opere pubblicate dal Titolare
• acquirenti dell’accesso alle opere del Titolare (ove la monetizzazione sia attivata)
• persone i cui dati personali figurano nei contenuti caricati dal Titolare (ad esempio persone raffigurate nelle illustrazioni o nominate nelle sceneggiature)

Categorie di dati personali

• Eventi di analisi della lettura: ID di sessione pseudonimo e casuale, diverso a ogni visita; riferimenti all’opera, al capitolo e alla vignetta; tipo di evento (ad esempio visualizzazione di una vignetta, tempo di permanenza, scelta, clic su un hotspot, «mi piace», segnalibro, condivisione, completamento); tipo di dispositivo; lingua dell’interfaccia; data e ora. Insieme a questi eventi non vengono memorizzati né l’indirizzo IP né lo user agent; l’indirizzo IP è utilizzato solo temporaneamente per limitare la frequenza delle richieste (rate limiting).
• Visualizzazioni e condivisioni degli extra: indirizzo IP, user agent, data e ora e riferimento al contenuto, per la misurazione della portata e la prevenzione degli abusi.
• Dati sui diritti di accesso (ove la monetizzazione sia attivata): indirizzo e-mail utilizzato al checkout in forma di hash (pseudonimizzata), riferimenti del fornitore di servizi di pagamento (ad esempio ID cliente e ID transazione), riferimento al prodotto, stato del diritto di accesso. Nessun dato della carta di credito o bancario.
• Dati di contenuto: dati personali contenuti in opere, sceneggiature, illustrazioni, audio o altri file caricati dal Titolare (variabili in base al contenuto e determinati dal Titolare).
• Stato della storia lato client: variabili della storia (ad esempio scelte e avanzamento del lettore) memorizzate nel local storage del browser del lettore; questi dati restano sul dispositivo del lettore e non sono trasmessi al Responsabile.

Le categorie particolari di dati personali (art. 9 del GDPR) non sono oggetto del presente incarico; possono tuttavia figurare indirettamente nei contenuti in forma libera caricati dal Titolare.

Allegato 2 — Misure tecniche e organizzative (art. 32 del GDPR)

1. Riservatezza

• Sicurezza fisica e dei data center: funzionamento esclusivamente in data center dell’UE certificati ISO 27001, con le misure di sicurezza fisica del gestore.
• Controllo dell’accesso ai sistemi: accesso ai sistemi di produzione solo tramite accesso amministrativo protetto con autenticazione basata su chiavi; i servizi interni (database, code, storage a oggetti) sono raggiungibili solo dalla rete privata.
• Controllo dell’accesso all’applicazione: autorizzazioni basate sui ruoli a livello di team (owner, editor, viewer) e ruoli di piattaforma separati per il personale amministrativo (superadmin, support, analyst); autenticazione a due fattori (TOTP) facoltativa per i clienti; limitazione della frequenza delle richieste (rate limiting) contro attacchi di forza bruta sugli endpoint di autenticazione.
• Separazione dei tenant: rigorosa separazione dei dati dei clienti mediante delimitazione per tenant a livello di applicazione e di database.
• Cifratura e hashing: cifratura dei dati in transito (TLS) su tutte le connessioni pubbliche; password memorizzate esclusivamente come hash bcrypt/PBKDF2 con salt; refresh token, token di reimpostazione della password, codici di invito e di recupero memorizzati come hash SHA-256; indirizzi e-mail utilizzati per gli acquisti memorizzati solo come hash.
• Minimizzazione dei dati fin dalla progettazione: la pipeline delle analisi di lettura non memorizza indirizzi IP né user agent; gli ID di sessione sono casuali, mantenuti solo in memoria e validi per una sola visita; il Player non imposta cookie.

2. Integrità

• Controllo dell’inserimento: registro di audit a sola aggiunta delle azioni amministrative e rilevanti per la sicurezza (autore dell’azione, azione, stato precedente/successivo, motivo, data e ora, indirizzo IP); registrazione completa degli accessi dell’assistenza agli account dei clienti, compresa la notifica via e-mail al titolare dell’account.
• Controllo della trasmissione: URL firmati di breve durata per l’accesso ai file; webhook di pagamento con verifica della firma; link di anteprima tokenizzati per le opere non pubblicate; registro delle sessioni con sessioni revocabili singolarmente.

3. Disponibilità e resilienza

• backup regolari dei database con ripristino point-in-time; i backup restano in data center dell’UE.
• elaborazione in background basata su code, con nuovi tentativi automatici (retry); monitoraggio e sistemi di allerta.
• limitazione della frequenza delle richieste (rate limiting) e interruttori di emergenza (kill switch) sugli endpoint pubblici di acquisizione dati.

4. Procedure di verifica periodica

• verifica periodica e ulteriore sviluppo delle misure (stato dell’arte).
• impostazioni predefinite a tutela della privacy (art. 25 del GDPR): per impostazione predefinita le analisi di lettura sono subordinate al consenso; i tipi di evento sono limitati a un elenco consentito (whitelist); nessun tracciamento pubblicitario o tra siti diversi.
• procedure di cancellazione automatizzate: cancellazione dell’account dopo il periodo di tolleranza, eliminazione di sessioni e token alla scadenza, aggregazione e cancellazione degli eventi di analisi grezzi.

Allegato 3 — Sub-responsabili del trattamento autorizzati

L’elenco aggiornato è pubblicato su questa pagina; le modifiche sono comunicate in conformità al § 7 del presente Accordo.