Accordo sul trattamento dei dati
1. Parti, ambito e stato
Questo accordo stabilisce i termini del trattamento dei dati tra il cliente aziendale indicato in un contratto di servizio OrsunPay (il «Cliente») e Orsun Tech OÜ, codice di registrazione 17418287, Sepapaja tn 6, Lasnamäe linnaosa, Tallinn, Harju maakond, 15551, Estonia («OrsunPay»). Diventa vincolante solo quando incorporato in un accordo accettato da entrambe le parti, con gli allegati sul trattamento e sulla sicurezza completati.
Per il trattamento qui contemplato, il Cliente determina le finalità e i mezzi essenziali e OrsunPay tratta i dati personali per conto del Cliente. Se il Cliente è a sua volta responsabile del trattamento, deve avere l’autorizzazione del proprio titolare a nominare OrsunPay. Il trattamento per le finalità proprie di OrsunPay relative al sito, ai contatti commerciali e all’amministrazione degli account è descritto nell’ informativa sulla privacy.
«Dati personali», «titolare del trattamento», «responsabile del trattamento» e termini correlati hanno il significato attribuito dalla normativa applicabile sulla protezione dei dati, incluso il GDPR ove applicabile. Questo accordo prevale sui termini di servizio contrastanti per il trattamento che disciplina; le clausole obbligatorie di trasferimento prevalgono ove applicabili.
2. Descrizione del trattamento
| Voce | Ambito del trattamento |
|---|---|
| Oggetto | Dati personali gestiti attraverso i servizi concordati di orchestrazione dei pagamenti del Cliente e il relativo supporto. |
| Natura delle operazioni | Ricezione, registrazione, organizzazione, recupero, trasmissione e visualizzazione di record; esecuzione di istruzioni di instradamento e operative; risoluzione dei problemi; restituzione o cancellazione dei dati. |
| Finalità | Gestire i flussi di pagamento configurati, scambiare informazioni con i fornitori selezionati, conservare record di transazioni e webhook, fornire accesso autorizzato e indagare sui problemi del servizio. |
| Persone | Acquirenti del Cliente e altri partecipanti ai pagamenti, nonché utenti o rappresentanti autorizzati del Cliente quando i loro dati sono trattati secondo le sue istruzioni. |
| Categorie di dati | Riferimenti di clienti e transazioni, recapiti se forniti, importi e valute, stati di pagamento e rimborso, riferimenti dei fornitori, informazioni sui metodi di pagamento tokenizzate o mascherate, dati tecnici di connessione e materiale di supporto pertinente. L’allegato finale deve riflettere l’integrazione effettiva. |
| Durata e frequenza | Durante l’uso del servizio e il periodo concordato di restituzione o cancellazione; trattamento continuo o attivato da eventi in base alle funzionalità utilizzate. |
| Dati sensibili | Le categorie particolari di dati, i dati relativi a reati e le credenziali di pagamento complete non rientrano in questa descrizione generale, salvo espressa copertura in un ambito scritto separato con controlli appropriati. |
3. Istruzioni e responsabilità del Cliente
Il contratto di servizio, gli allegati completati, le impostazioni autorizzate e le richieste API documentate costituiscono le istruzioni del Cliente. OrsunPay tratterà i dati coperti solo secondo tali istruzioni, incluse quelle sui trasferimenti, salvo quanto diversamente richiesto dalla legge applicabile. Informerà il Cliente di un obbligo legale prima del trattamento, salvo divieto di legge.
Il Cliente deve fornire istruzioni lecite, le informazioni privacy necessarie e una base valida per la raccolta e il trattamento richiesti. Deve limitare i dati forniti a quanto necessario al servizio e mantenere autorizzazioni di account appropriate. OrsunPay informerà il Cliente se ritiene che un’istruzione violi la normativa applicabile sulla protezione dei dati e potrà sospendere il trattamento interessato mentre la questione viene risolta.
4. Riservatezza e sicurezza
OrsunPay limiterà l’accesso alle persone autorizzate che ne hanno bisogno per erogare il servizio e garantirà che siano soggette a obblighi di riservatezza. Manterrà misure tecniche e organizzative adeguate alla natura dei dati e ai rischi del trattamento.
L’allegato sulla sicurezza deve documentare controllo degli accessi, autenticazione, modalità di cifratura, separazione degli ambienti dei clienti, registrazione degli eventi, gestione degli incidenti, backup e ripristino, cancellazione e processo di valutazione di tali misure. Deve distinguere i controlli implementati da quelli pianificati e identificare l’ambito del servizio applicabile. La sola pubblicazione di questo accordo non incorpora alcuna certificazione di audit o attestazione di sicurezza.
5. Sub-responsabili del trattamento
OrsunPay può nominare sub-responsabili solo previa autorizzazione scritta, specifica o generale, del Cliente. L’allegato autorizzato finale identificherà l’entità giuridica, la funzione e i luoghi di trattamento pertinenti. Il registro dei fornitori è un’informazione di supporto e include fornitori del sito e accordi in corso di valutazione; la sola inclusione non costituisce autorizzazione del cliente.
In caso di autorizzazione generale, OrsunPay comunicherà anticipatamente per iscritto aggiunte o sostituzioni previste e darà al Cliente una concreta opportunità di opporsi per motivi di protezione dei dati prima dell’inizio del nuovo trattamento. L’allegato sottoscritto deve specificare periodo di preavviso, canale di comunicazione e procedura di risoluzione. Se un’obiezione non può essere risolta, le parti concorderanno un’alternativa lecita o termineranno il servizio interessato secondo il contratto.
OrsunPay imporrà contrattualmente a ogni sub-responsabile gli obblighi applicabili di protezione dei dati e resterà responsabile del loro adempimento da parte del sub-responsabile come previsto dalla legge.
6. Assistenza e violazioni dei dati personali
Tenendo conto del trattamento e delle informazioni disponibili, OrsunPay assisterà il Cliente con richieste di diritti individuali, obblighi di sicurezza, valutazioni d’impatto e consultazioni con le autorità competenti. Se riceve una richiesta sui dati del Cliente, lo informerà e non risponderà nel merito salvo su istruzione o quando richiesto dalla legge.
OrsunPay notificherà al Cliente senza ingiustificato ritardo una violazione dei dati personali coperti dopo esserne venuta a conoscenza. Le informazioni disponibili descriveranno l’incidente, i dati e le persone interessati, le conseguenze probabili, le misure di mitigazione e un contatto per gli aggiornamenti. Le informazioni potranno essere fornite per fasi durante l’indagine. OrsunPay collaborerà alla risposta del Cliente; il Cliente resta responsabile delle notifiche che gli competono per legge.
7. Trasferimenti internazionali
Prima che il trattamento comporti un trasferimento soggetto a restrizioni, le parti devono identificare esportatore, importatore, destinazioni e meccanismo di trasferimento appropriato. Ove pertinente, ciò comprende una decisione di adeguatezza applicabile o clausole contrattuali standard completate con il modulo, gli allegati e le misure supplementari corretti. I requisiti del Regno Unito o della Svizzera devono essere affrontati ove applicabili.
Un link all’accordo sul trattamento di un fornitore non completa di per sé la documentazione di trasferimento del Cliente. L’allegato sottoscritto deve includere le modalità effettive, compresi accesso remoto e trasferimenti successivi.
8. Restituzione, cancellazione e conservazione
Al termine del trattamento, OrsunPay, a scelta del Cliente, restituirà o cancellerà i dati personali coperti ed eliminerà le copie rimanenti, salvo conservazione obbligatoria ai sensi della legge applicabile. Le parti devono concordare formato di esportazione, procedura di richiesta, termine di completamento e scadenza dei backup nell’allegato sul trattamento.
Quando la conservazione è obbligatoria per legge, OrsunPay identificherà l’obbligo ove consentito, limiterà i dati conservati a tale finalità e li cancellerà al termine dell’obbligo. Le copie di backup in attesa della scadenza programmata devono rimanere protette e non disponibili per l’uso ordinario. OrsunPay fornirà conferma del completamento su richiesta.
9. Informazioni e audit
OrsunPay metterà a disposizione le informazioni necessarie a dimostrare il rispetto dei propri obblighi di responsabile e consentirà e contribuirà agli audit, comprese le ispezioni del Cliente o del suo revisore incaricato. Le parti coordineranno un preavviso ragionevole, la riservatezza e le misure per proteggere le informazioni di altri clienti. Le modalità pratiche non devono impedire un audit richiesto dalla legge o da un’autorità competente.
10. Completamento dell’accordo
Prima della sottoscrizione, le parti devono completare categorie di dati specifiche del servizio, luoghi di trattamento, sub-responsabili approvati, documenti di trasferimento, misure di sicurezza, modalità di conservazione e restituzione, contatti per le notifiche e procedura di cambio dei fornitori. Le disposizioni su responsabilità e legge applicabile seguono il contratto di servizio sottoscritto nei limiti consentiti; nulla in questo accordo elimina i diritti legali delle persone. Le richieste sul contratto e sull’accordo sul trattamento possono essere inviate tramite Contatti.