Accordo sul Trattamento dei Dati (DPA)

Il presente Accordo sul trattamento dei dati ("DPA") si applica quando un'azienda o un'altra organizzazione ("Cliente") utilizza Fips, ad esempio con un piano Team, e T2MA Labs LLC ("T2MA Labs", "noi") tratta dati personali per conto del Cliente. È parte integrante dei Termini di servizio tra il Cliente e T2MA Labs. Per i singoli utenti si applica invece la nostra Informativa sulla privacy.

1. Ruoli

Il Cliente è il titolare del trattamento dei dati personali che esso o i suoi utenti inseriscono in Fips, e T2MA Labs è il suo responsabile del trattamento. Se il Cliente è a sua volta un responsabile del trattamento, T2MA Labs è suo sub-responsabile. Per i dati che trattiamo per finalità proprie, come la gestione degli account, la fatturazione, la sicurezza e gli obblighi di legge, agiamo come titolare autonomo ai sensi della nostra Informativa sulla privacy.

2. Dettagli del trattamento

• Oggetto: fornitura di Fips al Cliente.
• Durata: per la durata dell'abbonamento del Cliente e fino alla cancellazione ai sensi della sezione 9.
• Natura e finalità: hosting, conservazione, sincronizzazione e analisi dei dati di trading; gestione degli account utente; invio di notifiche; fornitura di assistenza.
• Tipi di dati personali: nomi e indirizzi e-mail, identificativi degli account, dati di trading (operazioni, conti di trading, saldi, note, screenshot), dati dei conti collegati, dati del dispositivo e di utilizzo e messaggi di assistenza.
• Interessati: gli utenti autorizzati del Cliente, come dipendenti, membri o trader.
• Categorie particolari di dati: non è previsto il trattamento di alcuna categoria particolare.

3. I nostri obblighi

Ci impegniamo a:

• trattare i dati personali soltanto su istruzione documentata del Cliente, costituita dal presente DPA, dai Termini e dall'uso e dalle impostazioni del Servizio da parte del Cliente, e informare il Cliente se riteniamo che un'istruzione violi la normativa sulla protezione dei dati;
• garantire che tutte le persone autorizzate al trattamento siano vincolate alla riservatezza;
• applicare le misure di sicurezza di cui alla sezione 6, in conformità all'articolo 32 del GDPR;
• assistere il Cliente nel rispondere alle richieste degli interessati, nonché nelle valutazioni d'impatto sulla protezione dei dati e nelle consultazioni con le autorità, tenendo conto della natura del trattamento;
• notificare al Cliente senza ingiustificato ritardo, dopo esserne venuti a conoscenza, qualsiasi violazione dei dati personali che riguardi i dati del Cliente, fornendo le informazioni necessarie al Cliente per adempiere ai propri obblighi;
• mettere a disposizione le informazioni necessarie a dimostrare il rispetto del presente DPA e consentire verifiche ragionevoli con un ragionevole preavviso.

4. Gli obblighi del Cliente

Il Cliente è responsabile di disporre di una base giuridica per il trattamento, di fornire ai propri utenti le informative richieste e di garantire che le proprie istruzioni siano conformi alla legge. Il Cliente non utilizzerà Fips per trattare categorie particolari di dati personali.

5. Sub-responsabili

Il Cliente concede un'autorizzazione generale all'impiego di sub-responsabili. I nostri attuali sub-responsabili sono:

• Cloudflare: hosting dei siti web e dell'API, database, archiviazione dei file e sicurezza.
• Resend: e-mail transazionali.
• Google: Firebase Cloud Messaging per il recapito delle notifiche push e l'API Gemini per la redazione delle bozze di risposta dell'assistenza (solo per le conversazioni di assistenza).
• Sentry: report sugli arresti anomali dell'app mobile.
• PostHog: analisi di prodotto nell'app mobile.
• RevenueCat: stato degli abbonamenti per gli acquisti nelle app mobili.
• Il nostro fornitore di servizi di pagamento: pagamenti sul web; può agire come merchant of record.
• Fornitore di server cloud: ospita la nostra chat di assistenza gestita autonomamente (Chatwoot) e i nostri servizi di raccolta dati.

Aggiorneremo questo elenco prima che un nuovo sub-responsabile inizi a trattare i dati del Cliente, e il Cliente può opporsi per ragionevoli motivi legati alla protezione dei dati. Se non riusciamo a risolvere l'opposizione, il Cliente può disdire l'abbonamento interessato e ottenere il rimborso dei corrispettivi pagati in anticipo per il periodo non utilizzato. Vincoliamo ciascun sub-responsabile a obblighi in materia di protezione dei dati che tutelano i dati almeno quanto il presente DPA, e restiamo responsabili del loro operato.

6. Misure di sicurezza

• cifratura dei dati in transito (HTTPS) e a riposo da parte dei nostri fornitori di hosting;
• password conservate solo come hash con salt;
• autenticazione su ogni richiesta all'API, con ciascun utente limitato ai propri dati;
• limitazione della frequenza delle richieste e protezione dagli attacchi a livello di rete;
• accesso in sola lettura ai conti di trading collegati;
• accesso ai sistemi di produzione limitato alle persone che ne hanno bisogno;
• eliminazione dell'account che rimuove i dati dell'utente dai nostri sistemi attivi.

7. Trasferimenti internazionali

Trattiamo i dati personali negli Stati Uniti e negli altri Paesi in cui operano i nostri sub-responsabili. Per i trasferimenti di dati personali dall'UE/SEE, il presente DPA incorpora le Clausole contrattuali standard adottate dalla Commissione europea con la Decisione (UE) 2021/914, Modulo 2 (da titolare a responsabile) o Modulo 3 (da responsabile a responsabile), a seconda dei casi, con il Cliente in qualità di esportatore dei dati e T2MA Labs in qualità di importatore dei dati. La clausola facoltativa di cui alla Clausola 11 non si applica, e le Clausole 17 e 18 sono disciplinate dalla legge e dalla giurisdizione dei tribunali dell'Irlanda. La sezione 2 del presente DPA costituisce l'Allegato I, la sezione 6 l'Allegato II e la sezione 5 l'Allegato III.

Per i trasferimenti dal Regno Unito si applica l'UK International Data Transfer Addendum; per la Svizzera, le Clausole si applicano con gli adattamenti richiesti dal diritto svizzero; per la Turchia, ci basiamo sulle garanzie consentite dall'articolo 9 della KVKK, come i contratti standard.

8. Richieste degli interessati

Se un interessato ci contatta direttamente in merito ai dati del Cliente, inoltreremo la richiesta al Cliente e non risponderemo direttamente, salvo per indirizzarlo al Cliente o ove la legge ce lo imponga.

9. Restituzione e cancellazione

Alla cessazione dell'abbonamento, il Cliente può esportare i propri dati prima di chiudere i propri account. Successivamente cancelliamo i dati personali del Cliente dai nostri sistemi attivi entro 30 giorni, salvo che la legge ci imponga di conservarli. I backup detenuti dai nostri fornitori di hosting scadono secondo i loro tempi ordinari.

10. Responsabilità, prevalenza e legge applicabile

La responsabilità ai sensi del presente DPA è soggetta alle limitazioni previste dai Termini, salvo ove la legge non le consenta. In caso di conflitto, prevalgono le Clausole contrattuali standard, quindi il presente DPA e infine i Termini. Il presente DPA è disciplinato dalla legge che regola i Termini, ossia la legge dello Stato del New Mexico (USA), fatta eccezione per le Clausole contrattuali standard, che sono disciplinate dalla legge da esse indicata.

11. Contatti

T2MA Labs LLC, 1209 Mountain Road Pl NE, Ste N, Albuquerque, NM 87110, USA. E-mail: [email protected]