Addendum sul trattamento dei dati

1. Ambito, natura e prevalenza

Il presente Addendum sul trattamento dei dati (l'"Addendum") forma parte dei Termini di servizio tra Breneshold LLC, società a responsabilità limitata costituita ai sensi delle leggi dello Stato della Florida, Stati Uniti ("Witnio", il responsabile del trattamento) e il cliente identificato nell'Ordine ("Cliente", il titolare del trattamento), e si applica ogniqualvolta Witnio tratti dati personali per conto del Cliente.

Esso è redatto per soddisfare l'articolo 28 del Regolamento (UE) 2016/679 (GDPR) e, ove si applichino il GDPR del Regno Unito o la LPD svizzera (FADP), per essere letto unitamente ai relativi addendum.

In caso di conflitto, il presente Addendum prevale sui Termini di servizio e sull'Informativa sulla privacy per il trattamento effettuato per conto del Cliente. Ove si applichino le Clausole contrattuali tipo, queste prevalgono sul presente Addendum.

Diventa vincolante quando entrambe le parti lo sottoscrivono o quando è espressamente incorporato in un Ordine. Il blocco firme, i dati delle entità e la data di efficacia sono completati sulla copia sottoscritta del presente Addendum.

2. Definizioni e ruoli

"Titolare del trattamento", "responsabile del trattamento", "interessato", "dati personali", "trattamento" e "violazione dei dati personali" hanno il significato loro attribuito dal GDPR.

Il Cliente è titolare del trattamento dei dati personali contenuti nelle Evidenze e nella configurazione che invia, e garantisce di disporre di una base giuridica per tale trattamento e di aver fornito ogni informativa e ottenuto ogni consenso richiesti.

Witnio è responsabile del trattamento di tali dati e li tratta solo su istruzioni documentate del Cliente.

Witnio è titolare autonomo del trattamento per i dati dell'account, di fatturazione, di assistenza e del sito web, nonché per i registri di sicurezza e di audit che è tenuta a conservare. Tale trattamento è disciplinato dall'Informativa sulla privacy, non dal presente Addendum.

3. Oggetto, durata, natura e finalità

Oggetto: prestazione dei servizi di osservazione su dispositivi reali e di evidenze ordinati dal Cliente.

Durata: la durata dei Termini di servizio, oltre ai periodi di esportazione e cancellazione indicati di seguito.

Natura e finalità: esecuzione di verifiche su dispositivi fisici; registrazione di quanto osservato; mascheramento e minimizzazione di quanto acquisito; generazione, hashing e firma delle Evidenze; conservazione delle Evidenze e loro messa a disposizione del Cliente; invio di avvisi; e prestazione di assistenza.

Operazioni di trattamento: raccolta, registrazione, organizzazione, strutturazione, conservazione, estrazione, consultazione, uso, limitazione, cancellazione e distruzione.

4. Categorie di interessati e di dati personali

Categorie di interessati: il personale e gli utenti autorizzati del Cliente; le persone fisiche i cui identificativi compaiono nel traffico che il Cliente dirige a un numero Witnio; e qualsiasi persona fisica visibile in uno screenshot o in una registrazione di una destinazione configurata dal Cliente.

Categorie di dati personali: numeri telefonici e identificativi dei mittenti, conservati in forma mascherata; contenuto dei messaggi, conservato in forma mascherata e troncata con un hash dell'originale; marche temporali e latenza; contesto di dispositivo, sistema operativo, app telefono, SIM, operatore e corridoio; risultati delle richieste web, catene di reindirizzamenti, cookie e stato del consenso osservati su una destinazione; screenshot e, per alcuni prodotti, video dello schermo del dispositivo; e il manifest firmato che li vincola insieme.

Categorie particolari di dati personali: nessuna è richiesta, e il Cliente non deve configurare una verifica che ne comporti il trattamento. Qualora dati appartenenti a categorie particolari vengano comunque acquisiti, il Cliente deve informarne Witnio senza ritardo affinché possano essere cancellati.

Frequenza: continua, per tutto il tempo in cui le verifiche del Cliente sono attive.

5. Istruzioni del Cliente

Witnio tratta i dati personali solo su istruzioni documentate del Cliente, costituite dal presente Addendum, dai Termini di servizio, dall'Ordine e dalla configurazione che il Cliente imposta nel servizio — salvo che una legge cui Witnio è soggetta disponga diversamente, nel qual caso Witnio informerà il Cliente prima del trattamento, a meno che tale legge lo vieti.

Witnio informerà il Cliente qualora, a suo parere, un'istruzione violi il GDPR o altre disposizioni in materia di protezione dei dati, e potrà sospendere il trattamento interessato fino alla rettifica dell'istruzione.

Il Cliente incarica Witnio di applicare a tutto quanto acquisito il mascheramento e la minimizzazione descritti nell'Informativa sulla privacy, e riconosce che ciò riduce i dati personali effettivamente conservati.

Il Cliente non invierà dati personali oltre quanto richiesto dalla verifica, e utilizzerà traffico di test anziché le comunicazioni reali degli utenti finali.

6. Riservatezza del personale

Witnio garantisce che ogni persona autorizzata a trattare dati personali ai sensi del presente Addendum sia vincolata da un obbligo di riservatezza che sopravvive alla cessazione del rapporto, sia formata sui propri obblighi e abbia accesso solo ai dati di cui necessita.

L'accesso ai dati di produzione è limitato a personale nominativamente individuato, autenticato con autenticazione a più fattori, e registrato.

7. Misure di sicurezza

Witnio attua le misure tecniche e organizzative indicate nell'Allegato II di seguito, tenendo conto dello stato dell'arte, dei costi di attuazione, nonché della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, come anche del rischio per gli interessati.

Witnio può modificare una misura a condizione che la modifica non riduca il livello complessivo di sicurezza. Le misure in vigore in ogni momento sono pubblicate nella pagina Sicurezza di questo sito web, che forma parte dell'Allegato II.

8. Sub-responsabili del trattamento

Il Cliente concede a Witnio un'autorizzazione scritta generale a ricorrere a sub-responsabili del trattamento. Quelli incaricati alla data del presente Addendum sono elencati nell'Informativa sulla privacy, unitamente al loro ruolo.

Witnio impone a ogni sub-responsabile del trattamento, mediante contratto scritto, obblighi in materia di protezione dei dati non meno protettivi di quelli del presente Addendum, e rimane pienamente responsabile nei confronti del Cliente dell'adempimento del sub-responsabile.

Witnio darà al Cliente un preavviso di almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile del trattamento, tramite e-mail al contatto dell'account e aggiornando l'elenco pubblicato. Il Cliente può opporsi per ragionevoli motivi attinenti alla protezione dei dati entro tale periodo; le parti discuteranno l'opposizione in buona fede e, qualora non possa essere risolta, il Cliente può risolvere l'abbonamento interessato e ricevere il rimborso dei corrispettivi prepagati non utilizzati relativi a esso.

i sub-responsabili indicati nel presente documento (Stripe, PayPal, Cloudflare, l'infrastruttura propria di Witnio e Telegram solo per avvisi interni); i clienti ricevono le comunicazioni di modifica scrivendo a [email protected]

9. Assistenza per i diritti degli interessati

Witnio assisterà il Cliente, con misure tecniche e organizzative adeguate e nella misura in cui ciò sia possibile, nell'adempimento del suo obbligo di dare seguito alle richieste per l'esercizio dei diritti dell'interessato.

Qualora un interessato contatti direttamente Witnio in merito a dati trattati per conto del Cliente, Witnio non risponderà nel merito e inoltrerà la richiesta al Cliente senza ingiustificato ritardo.

Il servizio mette a disposizione del Cliente funzioni di esportazione e cancellazione, che costituiscono il mezzo principale per soddisfare le richieste di accesso, portabilità e cancellazione. L'assistenza ulteriore è addebitata alle tariffe ragionevoli di Witnio quando l'impegno non è trascurabile.

10. Assistenza in materia di sicurezza, valutazioni d'impatto e violazioni

Witnio assisterà il Cliente nel garantire il rispetto degli articoli da 32 a 36 del GDPR, tenendo conto della natura del trattamento e delle informazioni a sua disposizione, anche fornendo le informazioni necessarie per una valutazione d'impatto sulla protezione dei dati e per una consultazione preventiva.

Witnio notificherà al Cliente una violazione dei dati personali che riguardi i dati personali del Cliente senza ingiustificato ritardo e comunque entro 72 ore dal momento in cui ne è venuta a conoscenza, descrivendo la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni coinvolti per quanto noto, le probabili conseguenze, le misure adottate o proposte e un punto di contatto per ulteriori informazioni. Ulteriori informazioni seguiranno man mano che l'indagine procede.

Witnio non effettuerà notifiche a un'autorità di controllo né comunicazioni a un interessato per conto del Cliente, salvo che il Cliente glielo ordini e le parti concordino il testo.

11. Cancellazione e restituzione

Alla cessazione del servizio, Witnio, su scelta del Cliente, restituirà i dati personali trattati per suo conto o li cancellerà.

I Dati del Cliente restano disponibili per l'esportazione tramite il servizio per 30 giorni dopo la cessazione. Decorso tale periodo, Witnio li cancella o li anonimizza in modo irreversibile, salvo nella misura in cui una legge cui Witnio è soggetta ne imponga la conservazione, nel qual caso Witnio li mantiene riservati e li tratta esclusivamente per tale finalità.

Le copie presenti solo nei backup sono cancellate quando tali backup vengono sovrascritti secondo il loro ciclo normale. Witnio confermerà per iscritto la cancellazione su richiesta.

12. Audit e informazioni

Witnio metterà a disposizione del Cliente le informazioni necessarie per dimostrare il rispetto dell'articolo 28 del GDPR.

Il Cliente può esercitare il proprio diritto di audit esaminando la documentazione che Witnio pubblica e fornisce — inclusi la pagina Sicurezza, lo schema di firma delle evidenze e le risposte scritte di Witnio a un questionario di sicurezza, che Witnio restituirà entro 30 giorni da una richiesta ragionevole.

Qualora ciò non sia sufficiente a soddisfare un requisito regolamentare dimostrato, il Cliente può effettuare, o incaricare un revisore indipendente vincolato alla riservatezza di effettuare, un audit in loco una volta in ogni periodo di dodici mesi, con un preavviso scritto di almeno 30 giorni, durante l'orario lavorativo, senza turbative irragionevoli e a spese del Cliente, compreso il tempo ragionevole impiegato da Witnio. Un'autorità di controllo può effettuare audit secondo quanto previsto dalla legge.

Un revisore non può essere un concorrente di Witnio e non può accedere ai dati di un altro cliente, al codice sorgente di Witnio o a qualsiasi credenziale.

13. Trasferimenti internazionali

Witnio tratta i dati personali su un'infrastruttura che gestisce in Costa Rica e si avvale di sub-responsabili del trattamento stabiliti negli Stati Uniti e altrove.

Per i trasferimenti di dati personali dallo Spazio economico europeo, dal Regno Unito o dalla Svizzera verso un paese privo di una decisione di adeguatezza, le parti incorporano per rinvio le Clausole contrattuali tipo approvate dalla Commissione europea con la Decisione di esecuzione (UE) 2021/914, con applicazione del Modulo Due (da titolare a responsabile del trattamento) tra il Cliente in qualità di esportatore dei dati e Witnio in qualità di importatore dei dati, con applicazione della clausola di adesione successiva (docking clause), con l'autorità di controllo e la legge applicabile del luogo di stabilimento del Cliente, e con l'Allegato I e l'Allegato II del presente Addendum a compilare i corrispondenti allegati di tali Clausole.

Per il Regno Unito si applica l'UK International Data Transfer Addendum a tali Clausole. Per la Svizzera, i riferimenti al GDPR si intendono come riferimenti alla LPD (FADP), e l'Incaricato federale della protezione dei dati e della trasparenza è l'autorità competente.

Witnio informerà il Cliente qualora non sia più in grado di rispettare tali Clausole, e il Cliente potrà in tal caso sospendere il trasferimento o risolvere.

Breneshold LLC in qualità di importatore dei dati ai sensi del Modulo 2 (da titolare a responsabile del trattamento) delle Clausole contrattuali tipo approvate con la Decisione di esecuzione (UE) 2021/914 della Commissione, senza selezione della clausola di adesione successiva facoltativa; una valutazione d'impatto del trasferimento è documentata prima del primo trasferimento dall'UE.

14. Responsabilità

La responsabilità di ciascuna parte ai sensi del presente Addendum è soggetta alle esclusioni e al massimale complessivo previsti nei Termini di servizio, e tale massimale è un unico massimale combinato per i Termini di servizio e il presente Addendum, non un massimale separato.

Nulla nel presente Addendum limita i diritti di un interessato nei confronti di una delle parti, né la responsabilità di una parte quando la legge applicabile non ne consente la limitazione. Ove si applichino le Clausole contrattuali tipo, nulla nella presente sezione limita la responsabilità ai sensi delle stesse nei confronti di un interessato.

15. Allegato I — dettagli del trattamento

Esportatore dei dati: il Cliente identificato nell'Ordine, in qualità di titolare del trattamento. Contatto: il contatto dell'account registrato nel servizio.

Importatore dei dati: Breneshold LLC (Florida, Stati Uniti), [email protected]; l'indirizzo postale è indicato nell'account e nelle fatture, in qualità di responsabile del trattamento, che presta servizi di osservazione su dispositivi reali e di evidenze.

Categorie di interessati, categorie di dati personali, categorie particolari, frequenza, natura e finalità, durata e dettagli dei sub-responsabili del trattamento: come indicato nelle sezioni 3, 4, 8 e 11 del presente Addendum.

Autorità di controllo competente: l'autorità del luogo di stabilimento del Cliente nello Spazio economico europeo o, se il Cliente non vi è stabilito, l'autorità dello Stato membro in cui è stabilito il suo rappresentante o in cui si trovano gli interessati.

16. Allegato II — misure tecniche e organizzative

Controllo degli accessi: autenticazione a più fattori; controllo degli accessi basato sui ruoli; autorizzazione negata per impostazione predefinita; delimitazione per tenant su ogni query relativa a dati di un tenant; token di breve durata con rotazione dei refresh token; sessioni revocabili; inventario delle sessioni e dei dispositivi; protezione contro attacchi di forza bruta; e chiavi API con ambito limitato e ruotabili, con quote e limitazione della frequenza.

Rete e piattaforma: ogni interfaccia pubblica considerata ostile; un gateway perimetrale e la limitazione della frequenza a monte del piano di controllo; la farm di dispositivi mai esposta direttamente a internet; e intestazioni di risposta di sicurezza su ogni pagina.

Minimizzazione e mascheramento dei dati: codici monouso, numeri di terzi, contenuti sensibili, token, cookie e identificativi non necessari mascherati o minimizzati prima dell'archiviazione e prima di qualsiasi trattamento di IA; corpi dei messaggi conservati in forma mascherata e troncata, con un hash dell'originale.

Integrità: un hash SHA-256 per ogni artefatto; manifest JSON canonici firmati con una chiave Ed25519 custodita al di fuori del repository sull'host di firma; una chiave pubblica pubblicata affinché un manifest possa essere verificato in modo indipendente; e rilevamento delle manomissioni in fase di verifica.

Riservatezza dei segreti: nessuna credenziale, codice monouso, cookie o token di sessione nel repository, nei log o nelle tracce; segreti custoditi in un gestore di segreti.

Test e garanzia: scansione di dipendenze, segreti, container e impostazioni predefinite non sicure a ogni rilascio; test di regressione sull'abuso dell'autenticazione e sull'accesso tra tenant; e convalida della configurazione cross-origin.

Disponibilità e resilienza: controlli di sospensione mirati che isolano una chiave, un utente o un tenant abusivi senza mettere fuori servizio la piattaforma; Evidenze conservate durante una sospensione; e procedure di ripristino documentate per guasti dei dispositivi, della rete e del caricamento delle evidenze.

Governance: registrazione di audit delle azioni privilegiate; una procedura documentata di gestione degli incidenti articolata in rilevare, contenere, revocare, conservare le prove, analizzare la causa principale, correggere, test di regressione, ripetere il test e documentare; e limiti di conservazione applicati da un processo di conservazione automatizzato.

Le misure in vigore in ogni momento sono pubblicate nella pagina Sicurezza di Witnio, che forma parte del presente Allegato.

17. Contatti

Domande in materia di protezione dei dati e comunicazioni ai sensi del presente Addendum: [email protected].

Responsabile della protezione dei dati o rappresentante nell'UE/nel Regno Unito, ove nominato: Breneshold LLC, [email protected].