Accordo sul Trattamento dei Dati (DPA)

Il presente Accordo sul Trattamento dei Dati ("DPA") è stipulato tra:

Il presente DPA è parte integrante dei Termini di Servizio SYLO e si applica a partire dall'attivazione del primo prodotto da parte del Cliente.

SYLO tratta dati personali per conto del Cliente al fine di erogare i servizi previsti dal piano di abbonamento attivato. Il trattamento comprende raccolta, registrazione, organizzazione, conservazione, consultazione e cancellazione dei dati, esclusivamente per le finalità indicate dal Cliente.

Tipologie di dati personali

• Dati identificativi degli utenti del Cliente (nome, cognome, email, telefono)
• Dati di accesso e credenziali degli account creati dal Cliente per il proprio personale
• Contenuti caricati dal Cliente (immagini, testi, descrizioni prodotto)
• Dati di feedback e recensioni lasciati dai clienti finali del Cliente
• Log tecnici di utilizzo della piattaforma

Categorie di interessati

• Titolare/amministratori del Cliente
• Dipendenti e collaboratori del Cliente che utilizzano la piattaforma
• Clienti finali del Cliente che interagiscono con i prodotti SYLO

SYLO si impegna a:

• Trattare i dati personali esclusivamente su istruzione documentata del Cliente, salvo obblighi di legge
• Garantire che il personale autorizzato al trattamento sia vincolato da obbligo di riservatezza
• Adottare misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR
• Assistere il Cliente nell'esercizio dei diritti degli interessati (artt. 15–22 GDPR)
• Mettere a disposizione tutte le informazioni necessarie per dimostrare il rispetto del GDPR
• Non trasferire i dati al di fuori del SEE senza adeguate garanzie (SCCs o decisioni di adeguatezza)
• Notificare tempestivamente eventuali violazioni dei dati (data breach) al Cliente
• Cancellare o restituire tutti i dati al termine dei servizi, a scelta del Cliente

Il Cliente autorizza SYLO ad avvalersi dei seguenti sub-responsabili per l'erogazione dei servizi. SYLO garantisce che ogni sub-responsabile sia vincolato da obblighi equivalenti a quelli del presente DPA.

In caso di modifica dei sub-responsabili, SYLO informerà il Cliente con almeno 14 giorni di anticipo, dandogli la possibilità di opporsi.

SYLO adotta misure tecniche e organizzative adeguate per proteggere i dati personali da accesso non autorizzato, perdita, divulgazione o distruzione, tra cui:

• Password memorizzate solo come hash con algoritmo scrypt, mai in chiaro
• Comunicazioni cifrate tramite HTTPS/TLS
• Accesso ai dati limitato al personale autorizzato (principio del minimo privilegio)
• Token di sessione con scadenza automatica
• Protezione CSRF su tutte le operazioni autenticate
• Database accessibile solo tramite connessioni sicure autenticate

In caso di accertata violazione della sicurezza che comporti accesso non autorizzato, perdita o distruzione di dati personali, SYLO notificherà il Cliente entro 48 ore dalla scoperta, fornendo:

• Descrizione della natura della violazione
• Categorie e numero approssimativo di interessati coinvolti
• Misure adottate o proposte per rimediare

Il Cliente rimane responsabile della notifica al Garante (entro 72 ore) e degli eventuali obblighi di comunicazione agli interessati ai sensi degli artt. 33–34 GDPR.

Qualora SYLO riceva direttamente richieste di esercizio dei diritti da parte degli interessati del Cliente (accesso, cancellazione, portabilità, ecc.), le inoltrerà al Cliente entro 5 giorni lavorativi senza rispondere in autonomia, a meno che non vi sia un obbligo di legge.

SYLO assiste il Cliente nell'evasione di tali richieste fornendo gli strumenti tecnici disponibili sulla piattaforma (es. export dei dati, cancellazione account).

Il presente DPA rimane in vigore per tutta la durata dell'utilizzo della piattaforma SYLO da parte del Cliente. Alla cessazione del rapporto, su scelta del Cliente:

• Cancellazione — tutti i dati del Cliente vengono eliminati in modo sicuro entro 30 giorni dalla richiesta
• Esportazione — i dati vengono forniti in formato leggibile (JSON/CSV) prima della cancellazione

Fanno eccezione i dati che SYLO è obbligata a conservare per legge (es. dati fiscali), che saranno conservati per il periodo minimo previsto dalla normativa applicabile e poi eliminati.

L'accettazione dei Termini di Servizio SYLO in fase di registrazione e/o l'attivazione di uno o più prodotti della piattaforma costituisce accettazione integrale del presente Accordo sul Trattamento dei Dati da parte del Cliente.