Il presente Accordo sul trattamento dei dati ("DPA") costituisce parte integrante dei Termini di servizio tra il cliente che utilizza PulseDesk ("Cliente", il titolare del trattamento) e Londonist Yazılım ve Teknolojileri A.Ş. ("PulseDesk", il responsabile del trattamento). Si applica ogni volta che PulseDesk tratta dati personali per conto del Cliente tramite il servizio PulseDesk. Entra in vigore quando il Cliente accetta i Termini e non richiede una firma separata; una copia controfirmata è disponibile su richiesta.
1. Definizioni
- Per Normativa sulla protezione dei dati si intendono tutte le leggi in materia di dati personali applicabili al trattamento, tra cui il Regolamento generale sulla protezione dei dati dell'UE 2016/679 ("GDPR"), lo UK GDPR e il Data Protection Act 2018, la Legge turca n. 6698 sulla protezione dei dati personali ("KVKK"), il Digital Personal Data Protection Act indiano del 2023 e altre leggi nazionali.
- Per Dati personali del Cliente si intendono i dati personali trattati da PulseDesk per conto del Cliente nella fornitura del servizio.
- Per Sub-responsabile del trattamento si intende un terzo incaricato da PulseDesk di trattare i Dati personali del Cliente.
- Per Violazione dei dati personali si intende una violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai Dati personali del Cliente.
- Termini come "titolare del trattamento", "responsabile del trattamento", "interessato" e "trattamento" hanno il significato loro attribuito dal GDPR (e dai termini equivalenti di altre normative sulla protezione dei dati, come "titolare del trattamento dei dati" e "responsabile del trattamento dei dati" nella KVKK).
2. Ruoli e ambito
- Il Cliente è il titolare del trattamento e PulseDesk è il responsabile del trattamento dei Dati personali del Cliente. Qualora il Cliente sia a sua volta responsabile del trattamento per conto di un altro titolare, PulseDesk è il suo sub-responsabile del trattamento e il Cliente rimane responsabile nei confronti di tale titolare.
- L'oggetto, la natura, la finalità e la durata del trattamento, i tipi di dati personali e le categorie di interessati sono indicati nell'Allegato 1.
3. Istruzioni del Cliente
- PulseDesk tratta i Dati personali del Cliente esclusivamente sulla base di istruzioni documentate del Cliente. I Termini, il presente DPA e la configurazione e l'utilizzo del servizio da parte del Cliente (ad esempio le funzionalità attivate, le impostazioni di conservazione e le autorizzazioni concesse) costituiscono le istruzioni complete del Cliente.
- PulseDesk informerà il Cliente qualora, a suo parere, un'istruzione violi la Normativa sulla protezione dei dati, e potrà sospendere l'esecuzione dell'istruzione finché questa non sia confermata o modificata.
- Qualora la legge imponga a PulseDesk di trattare i Dati personali del Cliente in modo diverso, PulseDesk ne informerà preventivamente il Cliente, salvo che la legge lo vieti.
4. Obblighi del Cliente
Il Cliente è responsabile della liceità del trattamento che dispone. In particolare, il Cliente garantisce di:
- disporre di una valida base giuridica per il monitoraggio e il trattamento dei dati dei propri dipendenti e degli altri utenti, e di aver effettuato ogni valutazione d'impatto sulla protezione dei dati eventualmente richiesta;
- aver informato gli interessati in modo chiaro e preventivo - nella propria informativa sulla privacy - in merito ai dati raccolti tramite PulseDesk, alle finalità, ai periodi di conservazione e a chi può accedervi, e aver ottenuto gli eventuali consensi o approvazioni delle rappresentanze dei lavoratori necessari;
- utilizzare il servizio solo su dispositivi di sua proprietà o che ha il diritto di gestire e di non utilizzarlo per un monitoraggio occulto, in conformità alla Politica di utilizzo accettabile;
- configurare il servizio in modo proporzionato (ad esempio per screenshot, posizione e registrazioni delle riunioni) e mantenere adeguate le proprie impostazioni di autorizzazione;
- effettuare registrazioni o notifiche presso le autorità di controllo ove richiesto dalla propria legge locale (ad esempio la registrazione al VERBİS ai sensi della KVKK).
5. Obblighi di PulseDesk
PulseDesk si impegna a:
- trattare i Dati personali del Cliente esclusivamente per le finalità indicate nell'Allegato 1 e mai per attività proprie di marketing, pubblicità o profilazione, e a non venderli;
- garantire che il proprio personale con accesso ai Dati personali del Cliente sia vincolato alla riservatezza e vi acceda solo ove necessario per fornire o supportare il servizio;
- attuare e mantenere le misure tecniche e organizzative descritte nell'Allegato 2, che possono essere aggiornate purché il livello complessivo di protezione non venga ridotto;
- assistere il Cliente, tenendo conto della natura del trattamento, in relazione alle richieste degli interessati, alla sicurezza, alle notifiche di violazione, alle valutazioni d'impatto sulla protezione dei dati e alle consultazioni preventive con le autorità di controllo.
6. Richieste degli interessati
Il servizio consente al Cliente di visualizzare, esportare ed eliminare i dati dei propri utenti. Qualora PulseDesk riceva direttamente da un interessato una richiesta relativa ai Dati personali del Cliente, la inoltrerà al Cliente senza ingiustificato ritardo e non risponderà direttamente, se non per confermare che la richiesta è stata trasmessa, salvo diversa autorizzazione del Cliente.
7. Sub-responsabili del trattamento
- Il Cliente concede a PulseDesk un'autorizzazione generale a ricorrere a Sub-responsabili del trattamento. L'elenco aggiornato è pubblicato nella nostra pagina Sub-responsabili del trattamento.
- PulseDesk imporrà a ciascun Sub-responsabile del trattamento obblighi in materia di protezione dei dati che offrano una tutela non inferiore a quella del presente DPA, e rimane responsabile del loro adempimento.
- PulseDesk darà un preavviso di almeno 30 giorni in caso di nuovo Sub-responsabile del trattamento, aggiornando l'elenco e informando i proprietari dell'organizzazione. Il Cliente può opporsi per ragionevoli motivi attinenti alla protezione dei dati entro 15 giorni dalla comunicazione. Le parti discuteranno l'opposizione in buona fede; qualora non sia possibile risolverla, il Cliente può recedere dalla parte del servizio interessata senza penali e ottenere il rimborso dei corrispettivi pagati anticipatamente per il periodo residuo.
8. Trasferimenti internazionali
I Dati personali del Cliente sono ospitati nel Regno Unito. PulseDesk e i suoi Sub-responsabili del trattamento possono trattarli negli altri paesi indicati nella pagina dei Sub-responsabili del trattamento. Per qualsiasi trasferimento che richieda garanzie ai sensi della Normativa sulla protezione dei dati, PulseDesk adotterà un meccanismo di trasferimento adeguato, come le clausole contrattuali standard dell'UE (modulo due o tre, a seconda dei casi), l'UK International Data Transfer Addendum e, per i trasferimenti soggetti alla KVKK, i contratti standard e la notifica richiesti dall'articolo 9 della KVKK, unitamente a misure supplementari ove necessario.
9. Violazioni dei dati personali
PulseDesk informerà il Cliente senza ingiustificato ritardo e in ogni caso entro 48 ore dal momento in cui viene a conoscenza di una Violazione dei dati personali che riguardi i Dati personali del Cliente. La notifica descriverà, per quanto noto, la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni coinvolti, le probabili conseguenze e le misure adottate o proposte. Le informazioni possono essere fornite in fasi successive. PulseDesk adotterà misure ragionevoli per contenere e porre rimedio alla violazione. Il Cliente è responsabile della notifica alle autorità di controllo e agli interessati ove richiesto (ad esempio entro 72 ore ai sensi del GDPR e della KVKK). Una notifica non costituisce un'ammissione di colpa.
10. Audit
PulseDesk metterà a disposizione del Cliente le informazioni ragionevolmente necessarie per dimostrare il rispetto del presente DPA, comprese le risposte ai questionari di sicurezza. Qualora ciò non sia sufficiente, o qualora un'autorità di controllo lo richieda, il Cliente può verificare la conformità di PulseDesk mediante audit una volta in ogni periodo di 12 mesi, con un preavviso scritto di almeno 30 giorni, durante il normale orario lavorativo, a proprie spese e con adeguati obblighi di riservatezza, direttamente o tramite un revisore indipendente che non sia un concorrente di PulseDesk. Gli audit non devono compromettere la sicurezza dei dati degli altri clienti.
11. Restituzione e cancellazione
Durante l'abbonamento il Cliente può esportare ed eliminare i Dati personali del Cliente tramite il servizio. Dopo la cessazione, il Cliente dispone di 30 giorni per esportare i propri dati. PulseDesk eliminerà quindi i Dati personali del Cliente dai propri sistemi attivi entro ulteriori 30 giorni e dai backup entro 90 giorni, salvo che la legge ne imponga la conservazione; in tal caso PulseDesk li manterrà riservati e li tratterà esclusivamente per tale finalità.
12. Responsabilità e durata
Le limitazioni di responsabilità previste nei Termini si applicano al presente DPA, salvo ove la Normativa sulla protezione dei dati non lo consenta. Il presente DPA resta in vigore finché PulseDesk tratta Dati personali del Cliente. In caso di conflitto tra il presente DPA e i Termini, il presente DPA prevale per le questioni relative alla protezione dei dati. È disciplinato dalla stessa legge e soggetto alla stessa giurisdizione dei Termini, salvo ove la Normativa sulla protezione dei dati o le clausole di trasferimento dispongano diversamente.
Allegato 1 - Dettagli del trattamento
Finalità: fornitura del servizio PulseDesk al Cliente: rilevazione automatica delle ore e dell'attività, analisi di produttività e presenze, screenshot (se attivati), tempo offline, progetti, orari di lavoro e turni, gestione di ferie e assenze, giorni festivi, chat, chiamate e riunioni (incluse registrazioni, trascrizioni e riepiloghi generati dall'IA, se utilizzati), documenti e drive, annunci, report, notifiche, l'assistente IA Lucy, assistenza e sicurezza.
Natura del trattamento: raccolta tramite l'applicazione desktop e la dashboard, conservazione, organizzazione, analisi, visualizzazione agli utenti autorizzati, trasmissione, esportazione e cancellazione.
Durata: per la durata dell'abbonamento e fino alla cancellazione ai sensi della sezione 11.
Interessati: dipendenti, collaboratori, responsabili e amministratori del Cliente che utilizzano PulseDesk; ospiti delle riunioni invitati dagli utenti; persone menzionate nei contenuti caricati dal Cliente.
Categorie di dati personali:
- Dati identificativi e di contatto: nome, email di lavoro, telefono, qualifica, reparto, responsabile, foto del profilo, lingua e fuso orario;
- Dati dell'account: hash della password, ruoli e autorizzazioni, informazioni su accessi e dispositivi, versione dell'applicazione desktop;
- Dati sull'attività lavorativa: orari di lavoro, arrivo e uscita, applicazioni attive e titoli delle finestre, indirizzi dei siti web, tempo di inattività, di assenza e privato, registrazioni di tempo offline, classificazioni di produttività;
- Screenshot dello schermo, se attivati dal Cliente;
- Posizione approssimativa (basata sull'IP o sulla posizione del dispositivo), se attivata dal Cliente;
- Dati di pianificazione: orari di lavoro, turni, richieste e saldi ferie, giorni festivi e motivi di assenza;
- Dati del personale che il Cliente sceglie di registrare, come data di assunzione, data di nascita, paese di lavoro, tariffa oraria e documenti;
- Dati di comunicazione: messaggi e file della chat, cronologia di chiamate e riunioni, registrazioni, trascrizioni e riepiloghi, annunci;
- Dati dell'assistente: domande poste a Lucy e risposte generate;
- Dati tecnici: indirizzi IP, log ed eventi di manomissione dell'applicazione desktop.
Categorie particolari: PulseDesk non è progettato per trattare categorie particolari di dati personali. Tuttavia, motivi di assenza, documenti del personale o messaggi inseriti dal Cliente possono contenere tali dati (ad esempio informazioni sanitarie relative a un congedo per malattia). Il Cliente decide se registrare tali dati ed è responsabile di disporre di una base giuridica.
Allegato 2 - Misure tecniche e organizzative
- Crittografia in transito: tutte le connessioni alla dashboard, all'API e all'applicazione desktop utilizzano HTTPS/TLS.
- Controllo degli accessi: autorizzazioni basate sui ruoli applicate sul server per ogni richiesta; rigorosa separazione dei dati di ciascun cliente; viste sensibili (screenshot, fascicoli del personale, posizione) riservate ai ruoli autorizzati.
- Autenticazione: password conservate con un robusto algoritmo di hashing unidirezionale; token di sessione firmati e a scadenza; codici di passaggio monouso per l'applicazione desktop.
- File protetti: gli screenshot e gli altri file sensibili non sono accessibili pubblicamente e vengono forniti tramite link firmati a breve scadenza; gli screenshot vengono eliminati in base all'impostazione di conservazione del Cliente.
- Infrastruttura: hosting in un data center professionale a Londra, Regno Unito; accesso al database limitato ad account di servizio autenticati; accesso amministrativo limitato al personale autorizzato.
- Backup: backup regolari del database conservati separatamente per consentirne il ripristino.
- Personale: obblighi di riservatezza; accesso basato sulla necessità di conoscere; privilegio minimo per l'accesso amministrativo.
- Integrità dell'applicazione desktop: aggiornamenti automatici; rilevamento e registrazione dei tentativi di chiudere o disinstallare l'applicazione, segnalati agli amministratori del Cliente.
- Funzionalità di IA: al fornitore di IA vengono inviati solo i dati a cui l'utente richiedente può accedere; il fornitore non li utilizza per l'addestramento; l'utilizzo viene registrato senza conservare il contenuto delle conversazioni sui nostri server.
- Gestione degli incidenti: procedure per rilevare, indagare, contenere e notificare le Violazioni dei dati personali.
Allegato 3 - Sub-responsabili del trattamento
I Sub-responsabili del trattamento autorizzati sono elencati nella nostra pagina Sub-responsabili del trattamento.