Condizioni sul trattamento dei dati

1. Chi è il titolare del trattamento e chi il responsabile del trattamento

Lei decide quali dati personali confluiscono nei suoi contenuti, che cosa pubblica nei suoi passaporti e a chi concede l’accesso. Lei è pertanto il titolare del trattamento dei dati personali presenti nei suoi contenuti, e noi siamo il suo responsabile del trattamento.

Se lei conclude il contratto con ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş., questa società tratta direttamente i suoi contenuti per lei. Se lei conclude il contratto con ZincirX Inc., la piattaforma è gestita da ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş., che tratta i suoi contenuti in qualità di sub-responsabile del trattamento di ZincirX Inc. sulla base di un accordo scritto che la vincola agli stessi obblighi previsti dalle presenti Condizioni sul trattamento dei dati. ZincirX Inc. resta responsabile nei suoi confronti di tale trattamento.

Le nostre società trattano inoltre alcuni dati personali per finalità proprie, in qualità di titolari del trattamento, come le credenziali di accesso e i profili dei titolari di account, i loro messaggi all’assistente IA, la fatturazione e i pagamenti, le registrazioni dell’accettazione delle nostre condizioni, la sicurezza del servizio, le richieste di assistenza, il nostro marketing rivolto ai contatti aziendali e le statistiche del sito web. Le presenti Condizioni sul trattamento dei dati non riguardano tali dati; li disciplina l’Informativa sulla privacy (https://zincirx.com/privacy), che indica quale delle nostre società ne è titolare. La sezione 7 stabilisce gli unici utilizzi dei dati dei passaporti al di là del servizio a cui lei acconsente.

2. Oggetto e durata

Oggetto del trattamento sono i dati personali presenti nei suoi contenuti, che trattiamo per fornirle ZincirX ai sensi dei Termini di servizio.

Il trattamento ha inizio quando lei inserisce per la prima volta contenuti in ZincirX e dura per tutto il tempo in cui deteniamo i suoi contenuti: per la durata del suo contratto con noi e, successivamente, fino alla restituzione o alla cancellazione dei contenuti, come descritto nella sezione 14.

I passaporti che ha emesso restano online per il loro periodo di disponibilità: 10 anni, calcolati a decorrere dal giorno di emissione di ciascun passaporto, salvo che l’ordine da cui provengono preveda un periodo diverso; se tale ordine ha registrato una data di scadenza successiva, si applica la data successiva. Salvo che per il relativo ordine sia stata scelta la cancellazione al momento del checkout, o che lei la scelga alla cessazione del suo contratto (sezione 14), il trattamento dei loro contenuti prosegue fino al termine di tale periodo, anche se il suo contratto con noi è cessato prima.

Le registrazioni delle scansioni dei suoi codici QR vengono cancellate dopo 12 mesi, e le registrazioni delle letture dei contenuti riservati dei passaporti dopo 36 mesi.

3. Natura e finalità del trattamento

Trattiamo i dati personali presenti nei suoi contenuti esclusivamente per fornirle il servizio, e utilizziamo i dati dei suoi passaporti al di là di ciò solo nei limiti consentiti dalla sezione 7. La fornitura del servizio comprende quanto segue.

• Conserviamo i suoi contenuti e manteniamo copie di backup del database che li contiene.
• Mostriamo i suoi contenuti ai suoi titolari di account in base ai ruoli che ricoprono nella sua azienda.
• Registriamo ogni fase di produzione con l’ora e con la posizione rilevata dal dispositivo che la registra. Quando una fase viene registrata nell’app mobile, l’app ricerca anche l’indirizzo corrispondente a tale posizione, come descritto nella sezione 10.
• Pubblichiamo i contenuti pubblici di ogni passaporto emesso sulla sua pagina pubblica e nelle versioni leggibili da macchina di tale pagina. Chiunque può aprirle scansionando il codice QR del passaporto, seguendone l’indirizzo oppure, se sono impostati un GTIN e un numero di lotto, utilizzando l’indirizzo GS1 Digital Link costruito a partire da essi.
• Mostriamo i contenuti riservati dei passaporti solo alle persone a cui lei concede l’accesso, e registriamo ogni volta che li leggono.
• Generiamo codici QR, etichette ed esportazioni dei suoi contenuti.
• Registriamo le scansioni dei suoi codici QR, in modo che lei possa vedere con quale frequenza e quando vengono scansionati.
• Inviamo le email che il servizio invia in merito alla sua azienda, come l’avviso che qualcuno ha chiesto di aderirvi.
• La assistiamo quando ci chiede supporto, e manteniamo il servizio sicuro e funzionante.

Non utilizziamo i suoi contenuti per alcuna finalità nostra, come il marketing o l’addestramento di modelli di IA, al di là degli utilizzi previsti dalla sezione 7.

4. Tipi di dati personali e persone interessate

Lei decide quali dati personali sono presenti nei suoi contenuti. Di norma vi rientrano i seguenti.

• Nomi e altri dati di persone che i titolari di account inseriscono in modelli, lotti, fasi, attributi dei passaporti o certificazioni, come un coltivatore, un fornitore, un ispettore o una persona di contatto.
• Quale titolare dell’account ha creato un modello o un lotto, registrato una fase, caricato un file o apportato una modifica registrata in una revisione di un passaporto, e quando.
• La posizione rilevata all’inizio e alla fine di ogni fase dal dispositivo che la registra, con l’ora in cui è stata rilevata e, se è stato ricercato, l’indirizzo corrispondente a tale posizione.
• Foto e documenti caricati come prove, e tutto ciò che mostrano o contengono, come il volto, il nome o la firma di una persona.
• Il nome, l’indirizzo e i recapiti di un fabbricante, di un fornitore o di un’altra azienda indicati in un passaporto, qualora tale azienda sia una persona fisica, come un imprenditore individuale, o qualora sia indicata una persona di contatto.
• I nomi, gli indirizzi email e le organizzazioni delle persone a cui lei concede l’accesso ai contenuti riservati dei passaporti, e una registrazione di ogni loro lettura, che conserva il loro indirizzo IP solo sotto forma di hash con chiave.
• Le registrazioni delle scansioni dei suoi codici QR: il momento di ogni scansione, la descrizione del browser e del dispositivo inviata dal dispositivo che ha effettuato la scansione e un hash con chiave al posto del suo indirizzo IP.

Le persone interessate sono principalmente i suoi titolari di account e il resto del suo personale; le persone della sua filiera, come coltivatori, fornitori, appaltatori, ispettori e vettori, e il loro personale; le persone di contatto delle aziende indicate nei suoi passaporti; le persone a cui lei concede l’accesso ai contenuti riservati dei passaporti; le persone che scansionano i suoi codici QR; e chiunque altro compaia nelle foto e nei documenti che lei carica.

Il servizio non è destinato a categorie particolari di dati personali, come i dati relativi alla salute, né a dati relativi a condanne penali. La sezione 6 le chiede di tenerli fuori dai suoi contenuti.

5. Le sue istruzioni

Trattiamo i dati personali presenti nei suoi contenuti soltanto su sue istruzioni documentate, comprese quelle relative al loro trasferimento verso altri Paesi.

Le sue istruzioni sono costituite dai Termini di servizio, comprese le presenti Condizioni sul trattamento dei dati; da ciò che i suoi titolari di account fanno nel servizio nell’ambito dei ruoli loro attribuiti dalla sua azienda, come ciò che inseriscono, ciò che pubblicano, quali passaporti emettono e a chi concedono l’accesso; e da qualsiasi ulteriore istruzione che un titolare o un amministratore della sua azienda ci impartisca per iscritto, ad esempio via email a info@zincirx.com, che sia coerente con i Termini di servizio.

Consideriamo quanto viene compiuto tramite le credenziali di accesso di un titolare dell’account come compiuto da tale titolare dell’account. Ciò non si applica qualora sapessimo, o avremmo ragionevolmente dovuto accorgerci, che qualcun altro stava utilizzando tali credenziali, o qualora tale utilizzo sia stato reso possibile da un difetto delle nostre stesse misure di sicurezza.

L’emissione di un passaporto costituisce una sua istruzione di pubblicarne i contenuti pubblici e di mantenerlo online per il suo periodo di disponibilità, anche dopo la cessazione del suo contratto con noi, poiché il suo codice QR potrebbe essere già stampato su prodotti in circolazione. Lei può modificare tale istruzione: può rettificare i dati personali presenti in un passaporto emesso o farli rimuovere (sezione 11) e, alla cessazione del suo contratto, può far cancellare i passaporti che ha emesso (sezione 14).

L’identificativo di un passaporto emesso non viene mai riassegnato a un altro prodotto né riutilizzato, nemmeno su sua istruzione. Gli errori vengono corretti nella registrazione del passaporto, aggiungendo come revisioni le correzioni ai suoi attributi e alle sue certificazioni, e un passaporto può essere contrassegnato come richiamato.

Quando viene chiuso l’account personale di un titolare dell’account, lei ci impartisce l’istruzione di sostituire con un indirizzo che non identifica nessuno l’indirizzo email che indica tale persona come autore di un modello o di un lotto, come responsabile di una fase di produzione o come persona che ha caricato un file, come descritto nella pagina Chiusura dell’account e disdetta (https://zincirx.com/cancellation-policy). Ciò che tale persona ha registrato resta nei suoi archivi. Le revisioni dei passaporti conservano l’indirizzo email della persona che ha apportato ciascuna modifica, così com’era in quel momento; lei può farlo rimuovere come descritto nella sezione 11.

I Termini di servizio ci consentono di disabilitare specifici contenuti illegali o in violazione degli stessi, compresi i contenuti presenti in una revisione precedente di un passaporto. In tal caso, inviamo una motivazione, come descritto nei Termini di servizio.

Per il resto, trattiamo i suoi contenuti al di fuori delle sue istruzioni soltanto quando lo richiede una legge a noi applicabile: ad esempio, per conformarci a un ordine di un’autorità giudiziaria o di un’autorità pubblica, oppure per informare le autorità competenti di informazioni che fanno sorgere il sospetto di un reato che minaccia la vita o la sicurezza di una persona. Prima di agire, la informiamo di tale obbligo giuridico, salvo che la legge o l’autorità ce lo vieti.

Se riteniamo che una sua istruzione violi la normativa in materia di protezione dei dati, la informiamo immediatamente.

6. Le sue responsabilità in qualità di titolare del trattamento

In qualità di titolare del trattamento, lei è responsabile dei dati personali che inserisce in ZincirX e di garantire che le istruzioni che ci impartisce siano conformi alla normativa in materia di protezione dei dati. In particolare:

• Lei deve disporre di una base giuridica per i dati personali presenti nei suoi contenuti e per tutto ciò che pubblica nella parte pubblica di un passaporto.
• Lei informa le persone interessate in merito al trattamento, come richiesto dalla normativa in materia di protezione dei dati. Si assicuri che le persone che registrano le fasi sappiano che la registrazione di una fase rileva la posizione del loro dispositivo e che le posizioni delle fasi sono mostrate sulla pagina pubblica del passaporto.
• Consideri tutto ciò che si trova nella parte pubblica di un passaporto come pubblicato e accessibile a chiunque. Non vi inserisca dati personali a meno che non sia necessario che vi compaiano e lei disponga di una base giuridica per pubblicarli. I nomi, i volti nelle foto e le posizioni registrate con le fasi possono identificare le persone che lavorano per lei.
• Ove il regolamento dell’UE sulla progettazione ecocompatibile dei prodotti sostenibili (regolamento (UE) 2024/1781) si applichi a un prodotto, esso non consente di conservare nel passaporto digitale del prodotto dati personali relativi ai clienti del prodotto senza il loro consenso esplicito. Non conservi in un passaporto dati personali relativi agli acquirenti o agli utilizzatori dei suoi prodotti, a meno che non vi abbiano acconsentito esplicitamente.
• Non inserisca nei suoi contenuti categorie particolari di dati personali, come i dati relativi alla salute, né dati relativi a condanne penali.
• Lei risponde alle richieste delle persone che esercitano i propri diritti sui dati personali presenti nei suoi contenuti. La sezione 11 descrive l’assistenza che le forniamo.

7. Limiti all’utilizzo dei dati dei passaporti

Il regolamento dell’UE sulla progettazione ecocompatibile dei prodotti sostenibili (regolamento (UE) 2024/1781) non consente a un fornitore di servizi per il passaporto digitale del prodotto di vendere i dati del passaporto, di riutilizzarli o di trattarli al di là di quanto necessario per il proprio servizio di conservazione o di trattamento, salvo che ciò sia specificamente concordato con l’operatore economico che immette il prodotto sul mercato.

Applichiamo tale regola a ogni passaporto che ospitiamo, indipendentemente dal fatto che il regolamento si applichi già al prodotto e che il passaporto contenga dati personali. Non vendiamo i dati dei passaporti, non li riutilizziamo per alcuna finalità nostra né li trattiamo, in tutto o in parte, al di là di quanto necessario per fornirle il servizio.

Accettando le presenti Condizioni sul trattamento dei dati, lei acconsente specificamente a due utilizzi ulteriori, e a nessun altro.

• Contiamo complessivamente i modelli e i lotti di tutti i nostri clienti, compreso il numero di lotti in ciascuno stato, e pubblichiamo tali totali relativi a ZincirX. I totali non identificano alcuna azienda, prodotto o persona.
• Quando un titolare dell’account sceglie di digitare dati del passaporto nell’assistente IA, inviamo tale messaggio a Google, che lo tratta per nostro conto al fine di generare la risposta. L’assistente è una nostra funzionalità, non un trattamento che effettuiamo per suo conto: non legge mai di propria iniziativa i suoi contenuti, la società con cui lei conclude il contratto è titolare del trattamento di ciò che vi viene digitato in ZincirX, e non ne conserviamo nulla, come descritto nell’Informativa sulla privacy (https://zincirx.com/privacy). Non vi dovrebbero essere digitati dati personali.

Il regolamento dell’UE relativo alle batterie (regolamento (UE) 2023/1542) non consente un simile accordo per i passaporti delle batterie. Ogni passaporto ZincirX riguarda un lotto di produzione, e i passaporti ZincirX non sono passaporti delle batterie ai sensi di tale regolamento, come indicato nei Termini di servizio.

8. Riservatezza

All’interno delle nostre società, l’accesso ai suoi contenuti è concesso solo alle persone che ne hanno bisogno per gestire, assistere o proteggere il servizio, e solo nella misura di tale necessità.

Chiunque autorizziamo a trattare i suoi contenuti è vincolato da un obbligo di riservatezza, per contratto o per legge.

Comunichiamo i suoi contenuti solo nei limiti consentiti dalle presenti Condizioni sul trattamento dei dati: ai nostri sub-responsabili del trattamento e, per le posizioni delle fasi registrate nell’app mobile, alla funzione di ricerca degli indirizzi del telefono (sezione 10); alle persone a cui lei concede l’accesso; al pubblico, nella parte pubblica dei suoi passaporti, secondo le sue istruzioni; e quando lo richiede la legge (sezione 5).

9. Misure di sicurezza

Per proteggere i suoi contenuti adottiamo misure tecniche e organizzative adeguate ai rischi del trattamento. Tra queste figurano le seguenti.

• I dati viaggiano tra i browser o le app mobili e i nostri server attraverso connessioni cifrate (HTTPS).
• L’accesso ai contenuti di un’azienda dipende dall’appartenenza a tale azienda e dal ruolo che il membro vi ricopre. Solo i suoi titolari e amministratori e, per un lotto, la persona che lo ha creato possono modificare gli attributi e le certificazioni di un passaporto.
• Le password sono conservate solo sotto forma di hash, mai in forma leggibile. I titolari di account possono attivare la verifica in due passaggi con un codice monouso, e le app mobili accedono con token di accesso revocabili.
• Gli attributi dei passaporti che non sono pubblici sono esclusi dalle pagine pubbliche dei passaporti e dai formati pubblici leggibili da dispositivo automatico. Gli attributi riservati sono mostrati solo alle persone a cui lei ha concesso l’accesso, ogni lettura viene registrata e un attributo il cui livello di accesso non è noto è trattato come il più riservato.
• A ogni file caricato viene assegnata un’impronta SHA-256, in modo che in seguito si possa dimostrare che il file non è stato modificato.
• Le modifiche agli attributi, alle certificazioni e al gruppo di prodotti di un passaporto sono registrate come revisioni di sola aggiunta: ogni modifica viene aggiunta come nuova revisione e le revisioni precedenti vengono conservate, fatta eccezione per i contenuti rimossi o disabilitati come descritto nelle sezioni 5 e 11. Le modifiche ai dettagli delle fasi e i file rimossi non sono conservati come revisioni.
• Le pagine pubbliche dei passaporti non contengono strumenti di analisi o di tracciamento. Gli indirizzi IP presenti nelle registrazioni delle scansioni dei codici QR e delle letture di contenuti riservati sono conservati solo sotto forma di hash con chiave, e tali registrazioni vengono cancellate rispettivamente dopo 12 e 36 mesi.
• I codici QR sono generati sui nostri server, per cui gli indirizzi dei passaporti non vengono inviati a servizi esterni per crearli.
• Conserviamo copie di backup del database.
• Possiamo sospendere immediatamente un account se sembra che qualcuno se ne sia impossessato o che sia usato in modo improprio. Una sospensione non le impedisce mai di ottenere una copia dei suoi contenuti: se non riesce ad accedere, ci chieda un’esportazione scrivendo a info@zincirx.com.

Possiamo modificare tali misure con l’evolversi del servizio e della tecnologia, ma non in modo da ridurre la protezione complessiva che offrono.

Anche le sue misure contano. È lei a decidere chi nella sua azienda ha un account e con quale ruolo, quindi revochi l’accesso alle persone che non ne hanno più bisogno.

10. Sub-responsabili del trattamento

Lei ci concede un’autorizzazione scritta generale a ricorrere a sub-responsabili del trattamento che ci assistano nella fornitura del servizio. Ci avvaliamo dei seguenti sub-responsabili del trattamento.

• ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş., che gestisce la piattaforma per entrambe le nostre società, quando lei conclude il contratto con ZincirX Inc.
• Hostinger, che fornisce i server e lo spazio di archiviazione su cui funziona la piattaforma e in cui sono conservati i suoi contenuti, nonché il servizio di posta tramite il quale ZincirX invia le proprie email. Il Paese in cui si trovano i server è indicato nella pagina Formati dei dati e infrastruttura (https://zincirx.com/data-formats).
• MailChannels, tramite il quale tale servizio di posta inoltra le email inviate da ZincirX. Tratta gli indirizzi dei destinatari e il contenuto di tali email.

Google, che genera per noi le risposte dell’assistente IA, non è un sub-responsabile del trattamento dei suoi contenuti. L’assistente non legge mai di propria iniziativa i suoi contenuti, e ciò che un titolare dell’account vi digita in ZincirX è trattato dalla società con cui lei conclude il contratto, in qualità di titolare del trattamento (sezione 7).

Quando una fase viene registrata nell’app mobile, l’app chiede alla funzione di ricerca degli indirizzi integrata nel telefono di convertire la posizione rilevata in un indirizzo, che viene salvato con la fase. La ricerca è eseguita dal fornitore del sistema operativo del telefono: Apple su un iPhone e, sulla maggior parte dei telefoni Android, Google. Tale fornitore riceve le coordinate della posizione.

Teniamo aggiornato questo elenco, con i dati di ciascun sub-responsabile del trattamento e il luogo in cui tratta i suoi contenuti, e glielo inviamo su richiesta: scriva a info@zincirx.com.

Vincoliamo per iscritto ciascun sub-responsabile del trattamento a obblighi in materia di protezione dei dati sostanzialmente identici a quelli che ci incombono ai sensi delle presenti Condizioni sul trattamento dei dati. Restiamo pienamente responsabili nei suoi confronti del modo in cui ciascun sub-responsabile del trattamento li adempie.

Prima di aggiungere o sostituire un sub-responsabile del trattamento, ne informiamo via email i titolari e gli amministratori della sua azienda, in tempo utile perché lei possa opporsi prima che la modifica abbia effetto.

Lei può opporsi per motivi ragionevoli attinenti alla protezione dei dati scrivendo a info@zincirx.com. In tal caso cerchiamo di accogliere la sua opposizione, ad esempio non utilizzando il nuovo sub-responsabile del trattamento per i suoi contenuti.

Se non possiamo accoglierla, lei può recedere dal suo contratto senza alcun costo per l’uscita, come descritto nella sezione dei Termini di servizio relativa a cambio di fornitore, uscita e cancellazione. I passaporti che ha già emesso restano online per il loro periodo di disponibilità, salvo che per il relativo ordine sia stata scelta la cancellazione al momento del checkout o che lei la scelga al momento dell’uscita (sezione 14), e lei può far rimuovere da essi dati personali come descritto nella sezione 11.

11. Richieste degli interessati

Le persone i cui dati personali si trovano nei suoi contenuti possono rivolgersi a lei, in qualità di titolare del trattamento, per esercitare i propri diritti, come l’accesso, la rettifica o la cancellazione. Se una di esse invia tale richiesta a noi, gliela trasmettiamo senza ingiustificato ritardo e non vi rispondiamo direttamente, se non per comunicare che l’abbiamo trasmessa.

Lei può visualizzare, correggere ed esportare autonomamente e gratuitamente la maggior parte dei suoi contenuti. I titolari e gli amministratori possono scaricare tutti i passaporti emessi dalla sua azienda in un unico file nel formato aperto zincirx.dpp, a tutti i livelli di accesso, con la loro cronologia completa delle revisioni e un manifesto delle impronte SHA-256. Gli elenchi dei lotti e i dettagli di un singolo lotto possono essere esportati in CSV o PDF, la parte pubblica di ciascun passaporto è disponibile in JSON-LD e come eventi GS1 EPCIS 2.0, ciascun file caricato può essere scaricato nella sua forma originale e ciascun titolare dell’account può scaricare i propri dati in JSON. La pagina Formati dei dati e infrastruttura (https://zincirx.com/data-formats) descrive tali formati. Tutto ciò che non può esportare autonomamente, come tutti i file originali in un unico download, glielo inviamo su richiesta: scriva a info@zincirx.com.

Le modifiche agli attributi, alle certificazioni e al gruppo di prodotti di un passaporto sono, per scelta progettuale, di sola aggiunta: una correzione viene aggiunta come nuova revisione e le revisioni precedenti vengono conservate. Si tratta di una scelta sul modo in cui viene tenuta la registrazione, non di un’impossibilità di cancellare. I dettagli delle fasi, come note e posizioni, possono essere modificati, e i file caricati rimossi, da chi è legittimato a gestire il lotto; tali modifiche non sono conservate come revisioni.

Qualora dati personali presenti nei suoi contenuti debbano essere rettificati, cancellati o sottoposti a limitazione, ad esempio perché l’interessato ha esercitato un diritto che lei è tenuta a rispettare, li corregga direttamente ove il servizio lo consenta: modifichi la fase, rimuova il file o aggiunga una revisione che corregga gli attributi o le certificazioni di un passaporto. Se i dati devono essere eliminati anche dalle revisioni precedenti, o da qualsiasi altro elemento che non può modificare autonomamente, scriva a info@zincirx.com. Su sua istruzione, il nostro team li rimuove o li disabilita, e il passaporto in quanto tale resta online.

Oltre a ciò, la assistiamo per quanto possibile, con le informazioni e gli strumenti di cui disponiamo, nel rispondere alle richieste entro i termini consentiti dalla normativa in materia di protezione dei dati: un mese ai sensi del GDPR, prorogabile di ulteriori due mesi se necessario, e 30 giorni ai sensi della KVKK. Diamo seguito senza ingiustificato ritardo alle istruzioni che ci impartisce ai sensi della presente sezione, affinché lei possa rispettare tali termini.

12. Assistenza per gli altri suoi obblighi

Tenendo conto del funzionamento del servizio e delle informazioni a nostra disposizione, la assistiamo nell’adempimento dei suoi obblighi di cui agli articoli da 32 a 36 del GDPR: in materia di sicurezza del trattamento, di violazioni dei dati personali (sezione 13), di valutazioni d’impatto sulla protezione dei dati e di consultazione di un’autorità di controllo prima di un trattamento che presenta un rischio elevato.

In pratica, le forniamo informazioni sul modo in cui il servizio tratta i dati personali e sulle misure di cui alla sezione 9, e rispondiamo alle sue domande ragionevoli al riguardo all’indirizzo info@zincirx.com.

13. Violazioni dei dati personali

Una violazione dei dati personali è una violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso non autorizzato a dati personali presenti nei suoi contenuti.

Se veniamo a conoscenza di una violazione, gliene diamo comunicazione senza ingiustificato ritardo, tramite email ai titolari e agli amministratori della sua azienda, affinché lei possa adempiere i propri obblighi di notifica alle autorità di controllo e di comunicazione agli interessati.

Le comunichiamo ciò che sappiamo: che cosa è accaduto, le categorie di dati personali e il numero approssimativo di persone e di registrazioni di dati interessate, le probabili conseguenze, le misure che abbiamo adottato o che proponiamo di adottare al riguardo e a chi rivolgersi per ulteriori informazioni. Se non possiamo comunicarle tutto subito, le comunichiamo ciò di cui disponiamo e le forniamo aggiornamenti man mano che ne sappiamo di più.

Adottiamo le misure ragionevolmente possibili per contenere la violazione e limitarne gli effetti, e la assistiamo nelle notifiche che lei è tenuta a effettuare.

14. Restituzione e cancellazione al termine

Al termine del servizio, lei può riprendere i suoi contenuti, esportandoli o facendoli trasferire a un altro fornitore o ai propri sistemi, e successivamente li cancelliamo. Per i passaporti che ha emesso, la scelta effettuata per ciascun ordine al momento del checkout determina se vengono cancellati insieme al resto o se restano online fino alla scadenza del loro periodo di disponibilità, e lei può modificarla al momento dell’uscita. La sezione dei Termini di servizio (https://zincirx.com/terms) relativa a cambio di fornitore, uscita e cancellazione stabilisce il calendario, in conformità al regolamento dell’UE sui dati (regolamento (UE) 2023/2854, “Data Act”). In sintesi:

• Restituzione: lei può esportare i suoi contenuti in qualsiasi momento finché il suo contratto è in vigore, anche durante il periodo di preavviso di 30 giorni di calendario dal giorno in cui riceviamo la sua comunicazione e, se passa a un altro fornitore o ai propri sistemi, durante il successivo periodo transitorio di 30 giorni di calendario, che può prorogare una volta. L’esportazione è gratuita.
• Periodo di recupero dei dati: dispone quindi di 30 giorni di calendario per recuperare i suoi contenuti, a decorrere dalla fine del periodo transitorio se cambia fornitore, oppure dalla cessazione del suo contratto al termine del periodo di preavviso se ha scelto la cancellazione senza trasferimento.
• Cancellazione: al termine del periodo di recupero dei dati, cancelliamo i suoi contenuti, compresi i dati personali in essi presenti, salvo quanto indicato nei punti seguenti.
• Passaporti emessi: i passaporti che ha emesso restano online fino alla scadenza del loro periodo di disponibilità, anche dopo la cessazione del suo contratto, salvo che per il relativo ordine sia stata scelta la cancellazione al momento del checkout o che lei ci chieda, nella sua comunicazione o entro la fine del periodo di preavviso, di cancellarli insieme al resto dei suoi contenuti; questi ultimi vengono cancellati al termine del periodo di recupero dei dati. Da quel momento i loro codici QR non rimandano più ad alcuna registrazione; verifichi quindi prima se le norme applicabili ai suoi prodotti richiedono che i relativi passaporti restino disponibili.
• Scadenza del periodo di disponibilità: quando il periodo di disponibilità di un passaporto scade dopo la cessazione del suo contratto, cancelliamo i contenuti di tale passaporto, salvo i contenuti utilizzati anche da un passaporto ancora online, come il relativo modello.
• Dati personali nei passaporti emessi: in qualsiasi momento, anche dopo la cessazione del suo contratto, lei può darci istruzione di rimuovere dati personali da un passaporto emesso, come descritto nella sezione 11.
• Backup: una copia di contenuti cancellati che rimanga in un backup è conservata in modo sicuro, non è utilizzata per nessun altro scopo e viene cancellata quando viene cancellato tale backup.
• Obblighi di legge: conserviamo i suoi contenuti oltre tali date solo ove il diritto dell’Unione o degli Stati membri, o il diritto turco per i clienti di ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş., ce lo imponga, e solo per il periodo da esso previsto.

In qualunque modo cessi il suo contratto, lei mantiene il diritto di recuperare i suoi contenuti secondo questo calendario.

Le registrazioni che conserviamo in qualità di titolare del trattamento, come i dati relativi a pagamenti e fatture e le registrazioni della sua accettazione delle nostre condizioni, non rientrano nei suoi contenuti. L’Informativa sulla privacy (https://zincirx.com/privacy) indica per quanto tempo le conserviamo.

15. Informazioni e attività di revisione

Mettiamo a sua disposizione tutte le informazioni necessarie per dimostrare il rispetto dei nostri obblighi ai sensi delle presenti Condizioni sul trattamento dei dati.

Lei, o un revisore indipendente da lei incaricato e vincolato da un obbligo di riservatezza, può svolgere attività di revisione, comprese le ispezioni, sul nostro rispetto di tali obblighi. Ci indichi per iscritto, con ragionevole anticipo, che cosa intende esaminare. Rispondiamo innanzitutto con documenti e risposte scritte; se, dopo di ciò, desidera ancora un’attività di revisione, concordiamo con lei una data per svolgerla.

Un’attività di revisione non deve consentire l’accesso ai dati di altri clienti né indebolire la sicurezza del servizio.

16. Trasferimenti internazionali

La piattaforma è gestita da ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş., una società stabilita in Turchia, e ZincirX Inc. è costituita negli Stati Uniti. Il Paese in cui si trovano i server che conservano i suoi contenuti è indicato nella pagina Formati dei dati e infrastruttura (https://zincirx.com/data-formats), e altri sub-responsabili del trattamento possono trattare dati in altri Paesi. Nessuna delle nostre società è stabilita nell’Unione europea. La Commissione europea non ha adottato una decisione di adeguatezza per la Turchia, e la sua decisione di adeguatezza per gli Stati Uniti riguarda solo le organizzazioni certificate nell’ambito del quadro UE-USA per la protezione dei dati personali (EU-U.S. Data Privacy Framework).

Se il GDPR si applica al trattamento, da parte sua, dei dati personali presenti nei suoi contenuti e lei ha sede nell’Unione europea, al loro trasferimento verso di noi e ai trasferimenti successivi si applicano le seguenti garanzie.

• Si applicano le clausole contrattuali tipo per il trasferimento di dati personali verso Paesi terzi, adottate dalla Commissione europea con la decisione di esecuzione (UE) 2021/914, nel loro modulo due (da titolare del trattamento a responsabile del trattamento), con lei in qualità di esportatore dei dati e, in qualità di importatore dei dati, la società con cui conclude il contratto, che per un cliente stabilito nell’Unione europea è ZincirX Inc. In virtù del presente rinvio, esse costituiscono parte integrante delle presenti Condizioni sul trattamento dei dati.
• Ai fini degli allegati delle clausole, le parti sono lei e tale società, con i dati indicati nel suo account e nelle Note legali (https://zincirx.com/legal-notice). Le sezioni da 2 a 4, 10 e 14 delle presenti Condizioni sul trattamento dei dati descrivono il trasferimento, che avviene in modo continuativo mentre lei utilizza il servizio, e la sezione 9 stabilisce le misure tecniche e organizzative.
• Si applica l’opzione delle clausole relativa all’autorizzazione scritta generale dei sub-responsabili del trattamento, con l’informazione preventiva e il diritto di opposizione previsti dalla sezione 10.
• Le clausole sono disciplinate dal diritto dello Stato membro dell’UE in cui lei ha sede, le controversie che ne derivano sono di competenza degli organi giurisdizionali di tale Stato membro e l’autorità di controllo competente è quella responsabile nei suoi confronti in qualità di esportatore dei dati.
• Quando lei conclude il contratto con ZincirX Inc., l’accordo scritto in base al quale ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş. tratta i suoi contenuti vincola quest’ultima agli stessi obblighi in materia di protezione dei dati che le clausole impongono a ZincirX Inc., compresi i diritti che esse conferiscono agli interessati.
• Trasferiamo i suoi contenuti a qualsiasi altro sub-responsabile del trattamento al di fuori dello Spazio economico europeo solo se la Commissione europea ha deciso che il Paese del destinatario garantisce un livello di protezione adeguato, oppure sulla base di una garanzia riconosciuta dal GDPR: le stesse clausole contrattuali tipo, nel modulo pertinente, oppure, per un destinatario negli Stati Uniti certificato nell’ambito del quadro UE-USA per la protezione dei dati personali, la decisione di adeguatezza della Commissione europea relativa a tale quadro (decisione di esecuzione (UE) 2023/1795). Se tale decisione cessa di applicarsi, ci basiamo invece sulle clausole contrattuali tipo.
• Le forniamo le informazioni di cui ha ragionevolmente bisogno per valutare, come richiesto dalla clausola 14 delle clausole, la legislazione e le prassi dei Paesi verso cui sono trasferiti i suoi contenuti.

Le clausole sono pubblicate nella Gazzetta ufficiale dell’Unione europea. Ne chieda una copia con gli allegati compilati scrivendo a info@zincirx.com.

La sezione 17 disciplina i trasferimenti al di fuori della Turchia per i clienti di ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş.

17. Clienti in Turchia

Per i clienti di ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş., ai dati personali presenti nei suoi contenuti si applica la legge n. 6698 sulla protezione dei dati personali (la KVKK). Ai sensi di tale legge, lei è il titolare del trattamento (veri sorumlusu) e ZincirX Bilişim Teknoloji ve Danışmanlık A.Ş. è il suo responsabile del trattamento (veri işleyen). Le presenti Condizioni sul trattamento dei dati costituiscono l’accordo tra noi per tale trattamento, e si applicano in aggiunta i punti seguenti.

Ai sensi dell’articolo 12, comma 2, della KVKK, lei e noi siamo congiuntamente responsabili dell’adozione delle misure tecniche e organizzative che garantiscono la sicurezza dei dati personali. Noi adottiamo le misure di cui alla sezione 9.

Non divulghiamo i dati personali che trattiamo per suo conto in violazione della KVKK e non li utilizziamo per finalità diverse dal loro trattamento per suo conto secondo quanto stabilito dalle presenti Condizioni sul trattamento dei dati. Tale obbligo permane dopo la cessazione del suo contratto.

Fatta eccezione per la funzione di ricerca degli indirizzi del telefono descritta nella sezione 10, i dati personali sono trasferiti all’estero solo ai sub-responsabili del trattamento di cui alla sezione 10 che li trattano al di fuori della Turchia, e solo per le attività che tale sezione indica per ciascuno di essi: il recapito delle email e, se i server si trovano al di fuori della Turchia, l’hosting. Effettuiamo tali trasferimenti solo sulla base di un presupposto consentito dall’articolo 9 della KVKK, come un contratto tipo annunciato dal Comitato per la protezione dei dati personali e notificato all’Autorità per la protezione dei dati personali entro cinque giorni lavorativi dalla sua sottoscrizione. Non ci basiamo sul consenso per tali trasferimenti.

Quando qualcuno le presenta una richiesta ai sensi dell’articolo 11 della KVKK in merito a dati personali presenti nei suoi contenuti, la assistiamo nell’evadere la richiesta entro i 30 giorni consentiti dall’articolo 13. Se invece la richiesta viene presentata a noi, gliela trasmettiamo senza ingiustificato ritardo.

Se dati personali che trattiamo per suo conto vengono acquisiti illecitamente da terzi, gliene diamo comunicazione senza ingiustificato ritardo, come descritto nella sezione 13, affinché lei possa informarne gli interessati e il Comitato per la protezione dei dati personali.

Al termine, i dati personali vengono cancellati, distrutti o resi anonimi come descritto nella sezione 14.

18. Responsabilità, modifiche e prevalenza

Le limitazioni di responsabilità previste dai Termini di servizio si applicano alle presenti Condizioni sul trattamento dei dati, salvo ove la legge non consenta di limitare la responsabilità, compresa la responsabilità per dolo o colpa grave. Nessuna disposizione dei Termini di servizio limita i diritti che la normativa in materia di protezione dei dati o le clausole contrattuali tipo conferiscono alle persone i cui dati personali si trovano nei suoi contenuti.

La informiamo di ogni modifica delle presenti Condizioni sul trattamento dei dati via email e all’interno del servizio, e non solo pubblicandone una nuova versione su questa pagina. Una nuova versione si applica nei suoi confronti dal momento in cui è stata accettata per conto della sua azienda, cosa che le viene chiesta prima di continuare a utilizzare l’applicazione web, e l’accettazione viene registrata. Fino ad allora si applica la versione accettata da ultimo per la sua azienda.

Se non accetta una nuova versione, continua ad applicarsi la versione accettata da ultimo per la sua azienda, e lei può comunque ottenere un’esportazione dei suoi contenuti e recedere dal suo contratto come descritto nella sezione 14.

Se le presenti Condizioni sul trattamento dei dati e il resto dei Termini di servizio divergono sul modo in cui trattiamo dati personali per suo conto, prevalgono le presenti Condizioni sul trattamento dei dati. Ove si applichino le clausole contrattuali tipo, queste prevalgono su entrambi.

Le presenti Condizioni sul trattamento dei dati sono disciplinate dalla stessa legge, e le controversie che le riguardano sono devolute agli stessi tribunali, come previsto dai Termini di servizio, fermo restando che la legge applicabile alle clausole contrattuali tipo è stabilita dalla sezione 16.

19. Contatti

Per qualsiasi questione relativa alle presenti Condizioni sul trattamento dei dati, comprese istruzioni, opposizioni a un sub-responsabile del trattamento, richieste di revisione e richieste di rimozione di dati personali da un passaporto, scriva a info@zincirx.com o chiami il numero +90 536 587 41 81. Entrambi sono indicati anche nella nostra pagina dei contatti (https://zincirx.com/contact).

I dati delle nostre società, compresi i nostri rappresentanti e i relativi recapiti, sono indicati nelle Note legali (https://zincirx.com/legal-notice), e l’indirizzo info@zincirx.com è sempre a sua disposizione.