Allegato D — Accordo sul trattamento dei dati

Versione: v1.3
Data di entrata in vigore: 11 agosto 2026
Incorporato in: Accordo del Publisher Capafy

Il presente Allegato D fa parte dell’Accordo del Publisher tra CAPAFY PTE. LTD. (UEN: 202619379G) («noi», «ci», «Capafy» o la «Piattaforma») e il Publisher («lei» o il «Publisher»). Disciplina gli accordi di protezione dei dati delle parti per i Dati personali trattati in relazione agli Agent ospitati nel cloud.

La Sezione D.1 stabilisce l’assegnazione dei ruoli di protezione dei dati delle parti per ciascuna categoria di dati e attività di trattamento coperta dal presente Allegato. Quando Capafy agisce come responsabile o sub-responsabile, le disposizioni per i responsabili del presente Allegato intendono soddisfare i requisiti applicabili dell’articolo 28(3) del GDPR e di leggi analoghe.

---

Indice

• D.1 Ambito e applicabilità
• D.2 Definizioni
• D.3 Istruzioni e obblighi del partner responsabile
• D.4 Finalità e limitazioni del trattamento
• D.5 Riservatezza e controlli di accesso
• D.6 Conservazione e cancellazione dei dati
• D.7 Misure tecniche e organizzative di sicurezza
• D.8 Valutazioni d’impatto sulla protezione dei dati
• D.9 Assistenza per i diritti degli interessati
• D.10 Sub-responsabili
• D.11 Trasferimenti transfrontalieri di dati
• D.12 Durata, cessazione e cancellazione dei dati
• D.13 Responsabilità
• D.14 Conformità all’articolo 28(3) del GDPR
• D.15 Disposizioni generali
• Appendice D-1 — Oggetto e dettagli del trattamento dei dati
• Appendice D-2 — Termini aggiuntivi per la normativa europea sulla protezione dei dati

---

D.1 Ambito e applicabilità

Il presente Allegato si applica all’accesso cloud in abbonamento e a ore, nonché a una revisione di sicurezza solo nella misura in cui tratti Dati personali. Non si applica all’uso successivo alla consegna di un Pacchetto Skill scaricabile, salvo i dati propri di account, pagamento, sicurezza, conformità e operativi della Piattaforma di Capafy.

Gli stessi Dati personali possono essere trattati per più finalità distinte. I ruoli delle parti sono determinati separatamente per ciascuna attività di trattamento indicata di seguito.

---

D.2 Definizioni

File dell’Agent — insieme completo di file, prompt, script e configurazioni inviati per l’esecuzione cloud.

Dati di esecuzione dell’Agent in tempo reale — contenuto delle interazioni Utente–Agent trattato transitoriamente da Capafy esclusivamente per instradare una richiesta, eseguire l’Agent del Publisher e restituire il risultato. Esclude copie o registrazioni conservate da Capafy come Log di esecuzione o Dati operativi della Piattaforma per finalità proprie di titolare indipendente ai sensi della Sezione D.1.

Proxy delle credenziali — meccanismo per iniettare le credenziali API ospitate nelle richieste dell’Agent durante l’esecuzione. Le credenziali sono cifrate e nessuno può accedere al valore in chiaro. Si applica solo alle credenziali registrate tramite la Console del Publisher come credenziali ospitate. Le credenziali incorporate direttamente nei File dell’Agent — comprese quelle inserite in dichiarazioni di variabili d’ambiente, file di configurazione, template di prompt o qualsiasi altro componente dello Skill Package — non sono gestite, archiviate o protette da noi e restano completamente al di fuori dell’ambito di questo meccanismo.

Log di esecuzione — registrazioni strutturate dell’attività di esecuzione dell’Agent e del contenuto delle conversazioni Utente–Agent conservate da Capafy per le finalità di titolare indipendente indicate nella Sezione D.1, incluse controversie e audit. Sono indicizzati per sessione, conservati per 90 giorni dopo la pulizia dell’istanza salvo termini di legge più lunghi e non sono resi disponibili ai Publisher tramite la Console o canali dati ordinari.

Istruzioni — direttive sul trattamento dei dati personali ai sensi del presente Allegato, inclusa la configurazione e gestione della Piattaforma descritte nell’Accordo del Publisher e ulteriori istruzioni scritte.

Partner Responsabile — Publisher che agisce come responsabile per conto di un titolare a monte.

Servizio esterno selezionato dal Publisher — provider LLM esterno, API, database, provider di ricerca o altro servizio scelto o configurato dal Publisher per l’uso con un Agent.

Sandbox di revisione — ambiente di test isolato per valutare il comportamento dell’Agent durante la revisione di sicurezza, progettato per impedire l’accesso ai File originali.

Incidente di sicurezza — evento che comporta accesso, divulgazione, alterazione o distruzione non autorizzati di dati personali.

---

D.3 Istruzioni e obblighi del Partner Responsabile

La presente Sezione si applica solo ai File dell’Agent e ai Dati di esecuzione dell’Agent in tempo reale di cui alla Sezione D.1, quando Capafy agisce come responsabile o sub-responsabile. Capafy tratterà tali Dati personali solo secondo le Istruzioni documentate del Publisher, salvo diversa richiesta di legge. Le Istruzioni sono contenute nel presente Allegato, nell’Accordo del Publisher, nell’Agent configurato e in ulteriori istruzioni scritte compatibili.

Se Capafy ritiene ragionevolmente che un’Istruzione violi le Leggi applicabili sulla protezione dei dati, o la legge ne impedisce l’esecuzione, Capafy informerà tempestivamente il Publisher e sospenderà il trattamento interessato fino alla soluzione. Il rifiuto di un’Istruzione ragionevolmente ritenuta illecita non costituisce violazione del presente Allegato.

Se il Publisher è un Partner Responsabile, garantisce che il titolare a monte abbia autorizzato il trattamento descritto e la nomina di Capafy come sub-responsabile per la categoria applicabile. Il Publisher inoltrerà ogni comunicazione che la legge richieda al titolare.

Per Log di esecuzione, Dati operativi della Piattaforma, dati di account, checkout, pagamento, regolazione, sicurezza e altri trattamenti come titolare indipendente descritti nella Sezione D.1, Capafy agisce secondo Privacy Policy e legge applicabile, non secondo le Istruzioni del Publisher.

---

D.4 Finalità e limitazioni del trattamento

Trattamento come responsabile. Solo per File dell’Agent e Dati di esecuzione dell’Agent in tempo reale, Capafy tratta i Dati personali esclusivamente per:

• ospitare ed eseguire l’Agent del Publisher e fornire l’output all’Utente interessato;
• creare, mantenere e terminare la sessione necessaria;
• instradare richieste e risposte tramite infrastruttura proxy o relay;
• iniettare credenziali API del Publisher tramite il Proxy delle credenziali; e
• fornire misure di sicurezza necessarie a proteggere tale trattamento.

Trattamento come titolare indipendente. Capafy tratta Log di esecuzione, Dati operativi della Piattaforma e altre categorie della Sezione D.1 per sicurezza e integrità, prevenzione frodi e abusi, revisione sicurezza, controversie, audit, fatturazione e regolazione, conformità legale e periodi di conservazione indicati.

Sicurezza dei messaggi. Capafy può esaminare i messaggi in entrata per minacce e filtrare l’output dell’Agent per perdite di credenziali. Una credenziale rilevata può essere sostituita da un indicatore di oscuramento e notificata al Publisher.

Capafy non:

• userà File dell’Agent per addestrare modelli IA o sistemi di machine learning;
• copierà o adatterà la logica funzionale per creare servizi concorrenti;
• fornirà File dell’Agent a terzi non autorizzati;
• contatterà gli Utenti per eludere il Publisher e creare un rapporto commerciale indipendente; né
• consentirà accesso ai dati grezzi delle conversazioni al di fuori dei processi autorizzati di controversia, audit, sicurezza e conformità legale.

---

D.5 Riservatezza e controlli di accesso

Garantiamo che tutto il personale con accesso ai tuoi File dell’Agente o ai dati di interazione dell’Utente sia vincolato da adeguati obblighi di riservatezza.

• L’accesso al codice e ai contenuti dell’Agente è soggetto a rigorosi controlli del privilegio minimo
• Il nostro team di revisione valuta il comportamento dell’Agente tramite la Sandbox di revisione, progettata per impedire l’accesso ai tuoi File dell’Agente originali
• L’accesso del nostro personale tecnico ai dati grezzi di conversazione Utente richiede doppia approvazione ed è limitato ai processi autorizzati di Capafy per controversie, audit, sicurezza e conformità legale
• Le tue credenziali API sono conservate in forma cifrata, isolate dai nostri sistemi aziendali generali e non sono accessibili in chiaro ad alcuna persona

---

D.6 Conservazione e cancellazione dei dati

Periodi di conservazione:

Cancellazione avviata dal Publisher:

• Le credenziali API ospitate possono essere rimosse o sostituite in qualsiasi momento dalla Console del Publisher; le sostituzioni hanno effetto al successivo avvio del container e le cancellazioni hanno effetto immediato.
• Il delisting di un Agent impedisce nuove sessioni ma non elimina i File conservati per sessioni attive o pendenti.
• Per richiedere la cancellazione permanente contattare [email protected].

Richieste di cancellazione degli interessati:

Le richieste relative a Log di esecuzione, Dati operativi, account, pagamenti o altri trattamenti come titolare indipendente sono gestite da Capafy secondo Privacy Policy e legge applicabile. Capafy non deve divulgare al Publisher l’e-mail dell’account, il profilo personale o i log grezzi, salvo obbligo di legge.

Per richieste relative a File dell’Agent o Dati di esecuzione dell’Agent in tempo reale trattati come responsabile o sub-responsabile, Capafy fornirà assistenza ragionevole secondo D.9. Può richiedere informazioni fattuali limitate ma non fornirà Log grezzi tramite Console o canali ordinari.

---

D.7 Misure tecniche e organizzative di sicurezza

Le nostre misure di sicurezza:

Sicurezza dell’archiviazione:

• File dell’Agente, Log di esecuzione e credenziali API sono cifrati a riposo
• Le credenziali API sono conservate in un archivio di segreti dedicato e isolato; nessun accesso in chiaro è disponibile ad alcuna persona, inclusi i nostri ingegneri
• L’accesso tra File dell’Agente di Editori diversi è rigorosamente segregato; l’accesso tra dati di sessione di Utenti diversi è rigorosamente segregato
• L’accesso del personale ai dati di produzione richiede doppia approvazione

Sicurezza dell’ambiente di esecuzione:

• Ogni sessione Utente viene eseguita in un ambiente isolato; i dati della sessione di un Utente non sono accessibili a un altro Utente
• Le sessioni utilizzate per revisione di sicurezza e test interni sono completamente isolate dalle sessioni commerciali degli Utenti; non generano ordini o registrazioni di ricavi
• L’accesso di rete in uscita dagli ambienti dell’Agente è controllato; il Proxy delle credenziali inserisce credenziali API solo per richieste agli URL API dichiarati nel tuo Agente

Pipeline di sicurezza dei messaggi:

• Tutti i messaggi Utente passano attraverso un livello di scansione di sicurezza prima di raggiungere il tuo Agente
• Tutto l’output dell’Agente passa attraverso un filtro di sicurezza prima di essere consegnato all’Utente; l’output contenente formati di credenziali rilevati viene oscurato
• Questi livelli di sicurezza operano al di fuori dell’ambiente di esecuzione dell’Agente e non possono essere aggirati dal codice dell’Agente

Sicurezza della trasmissione:

• Tutti i dati in transito sono cifrati utilizzando protocolli di sicurezza del trasporto standard di settore correnti

Sicurezza continua:

• Conduciamo test interni continui di sicurezza della nostra infrastruttura e del codice, e incaricheremo test di penetrazione indipendenti di terzi quando la nostra scala e il profilo di rischio lo giustificheranno
• Eseguiamo scansioni automatizzate continue delle vulnerabilità sulla nostra infrastruttura e codice, e conduciamo analisi statiche e comportamentali a livello Skill dei File dell’Agente prima e durante la pubblicazione
• Manteniamo, o lavoriamo per mantenere, una certificazione di sicurezza riconosciuta dal settore (come ISO 27001 o standard equivalente); i dettagli sono disponibili su richiesta scritta
• Quando rileviamo codice dannoso in un Agente, rimuoviamo immediatamente l’Agente, notifichiamo gli Utenti interessati e pubblichiamo un avviso di sicurezza

Le tue responsabilità di sicurezza:

Sei responsabile di:

• Usare la Piattaforma in modo sicuro e in conformità con l’Accordo dell’Editore
• Mantenere la sicurezza e la riservatezza delle tue credenziali della Console dell’Editore
• Configurare correttamente le impostazioni di sicurezza dell’Agente per il tuo caso d’uso
• Qualsiasi dato personale conservato o trattato su sistemi esterni alla Piattaforma, inclusi i tuoi server o servizi di terzi chiamati dal tuo Agente
• Assicurarti che qualsiasi credenziale richiesta dal tuo Agente sia registrata tramite la Console dell’Editore come credenziale ospitata. Se incorpori credenziali — incluse chiavi API, token o segreti — direttamente nei tuoi File dell’Agente (ad esempio, in dichiarazioni di variabili d’ambiente, file di configurazione o modelli di prompt), tali credenziali non sono sotto il nostro controllo o protezione. Non assumiamo responsabilità per esposizione, fuga o uso improprio di credenziali incorporate in questo modo

Riconosci che le nostre misure di sicurezza, tenuto conto della natura dei servizi e dello stato dell’arte, forniscono un livello adeguato di protezione per i dati personali trattati ai sensi del presente Allegato.

---

D.8 Valutazioni d’impatto sulla protezione dei dati

Quando sei tenuto, ai sensi della normativa applicabile sulla protezione dei dati (incluso l’articolo 35 del GDPR), a condurre una Valutazione d’impatto sulla protezione dei dati in relazione al tuo uso della Piattaforma, ti assisteremo fornendo, su richiesta scritta:

• una descrizione delle nostre attività di trattamento dei dati e misure di sicurezza rilevanti per la valutazione
• informazioni sui nostri sub-responsabili e meccanismi di trasferimento dei dati
• estratti rilevanti dalla nostra documentazione di sicurezza

Risponderemo a tali richieste entro un tempo ragionevole.

---

D.9 Assistenza ai diritti degli interessati

Questa Sezione si applica solo quando Capafy agisce come responsabile o sub-responsabile per File dell’Agent o Dati di esecuzione dell’Agent in tempo reale secondo D.1. Considerata la natura del trattamento, Capafy fornirà assistenza ragionevole al Publisher per rispondere a richieste valide nella misura richiesta dalle Leggi sulla protezione dei dati.

Per richieste relative a Log di esecuzione, Dati operativi, account, pagamenti o altri trattamenti come titolare indipendente, Capafy risponde nel proprio ruolo secondo Privacy Policy e legge. Il Publisher non ha diritto a Log grezzi, contenuti delle conversazioni, e-mail dell’account Capafy o profilo personale, salvo obbligo di legge.

Per il trattamento come responsabile, Capafy può fornire informazioni di stato, eseguire istruzioni documentate di rettifica, limitazione o cancellazione ove richiesto e assistere tramite un processo sicuro specifico per il caso. Ciò non richiede di rendere disponibili Log grezzi.

---

D.10 Fornitori di servizi e sub-responsabili

Per File dell’Agent e Dati di esecuzione dell’Agent in tempo reale trattati come responsabile o sub-responsabile, Capafy può utilizzare i seguenti sub-responsabili soggetti alla procedura di notifica e opposizione:

Capafy può nominare un nuovo sub-responsabile con preavviso scritto di almeno 30 giorni per modifiche sostanziali. Il Publisher può opporsi per iscritto entro 14 giorni. Se l’opposizione non è ragionevolmente risolta, il Publisher può terminare il trattamento interessato con preavviso scritto di 30 giorni senza penali.

Per Log di esecuzione, Dati operativi e altri dati trattati come titolare indipendente, Capafy può usare fornitori che agiscono per suo conto. Sono responsabili di Capafy, non sub-responsabili del Publisher.

Servizi esterni selezionati dal Publisher. Un servizio esterno non è sub-responsabile di Capafy solo perché Capafy vi instrada contenuti tramite proxy o relay. Il Publisher è responsabile di selezione, configurazione, contratto, ruolo privacy e informative sui flussi. Ciò non limita la responsabilità di Capafy per responsabili o sub-responsabili ingaggiati autonomamente.

---

D.11 Trasferimenti transfrontalieri di dati

Quando trasferiamo dati personali al di fuori della giurisdizione in cui sono stati raccolti, ci basiamo sui seguenti meccanismi:

Qualsiasi SCC, UK IDTA o Addendum del Regno Unito, o modifica svizzera incorporata dal presente Allegato, si applica solo ai trasferimenti e ai ruoli espressamente descritti nella Sezione D-2.4.

Se concludi che un meccanismo di trasferimento su cui facciamo affidamento non fornisce più protezione adeguata, puoi informarci per iscritto. Collaboreremo con te in buona fede per identificare un meccanismo alternativo. Se non può essere concordato un meccanismo adeguato entro 30 giorni, puoi terminare il presente Allegato per convenienza senza penalità.

---

D.12 Durata, cessazione e cancellazione dei dati

Durata. Il presente Allegato entra in vigore e si applica come descritto nella Sezione D.15. Rimane in vigore finché il Publisher non si deregistra come Publisher o finché l’account del Publisher non viene cessato.

Cancellazione dei dati alla cessazione:

Al termine del trattamento applicabile in qualità di responsabile o sub-responsabile, i File dell’Agent vengono cancellati entro 30 giorni dalla fine di qualsiasi periodo di transizione consentito dalle Sezioni 5.5 e 15.4 dell’Accordo del Publisher, oppure entro 30 giorni dalla cessazione quando non si applica alcun periodo di transizione, in ogni caso nel rispetto della legge applicabile, degli obblighi di conservazione legale e della normale rotazione dei backup.

Su richiesta scritta del Publisher presentata prima della cancellazione, Capafy restituirà in un formato di uso comune i Dati personali rimanenti trattati esclusivamente in qualità di responsabile o sub-responsabile e cancellerà quindi le copie rimanenti detenute in tale qualità, salvo che la legge applicabile ne richieda la conservazione.

Dati conservati dopo la cessazione:

Obblighi continuativi:

I nostri obblighi di riservatezza relativi ai tuoi File dell’Agente sopravvivono indefinitamente alla cessazione del presente Allegato. Il nostro divieto di usare i tuoi File dell’Agente o informazioni derivate per finalità competitive è permanente.

---

D.13 Responsabilità

Le limitazioni di responsabilità della Sezione 11 dell’Accordo del Publisher si applicano alle richieste derivanti da o connesse al presente Allegato, salvo nella misura in cui la responsabilità non possa essere esclusa o limitata dalla legge applicabile.

---

D.14 Conformità all’articolo 28(3) del GDPR

Solo per File dell’Agent e Dati di esecuzione dell’Agent in tempo reale, quando Capafy agisce come responsabile o sub-responsabile ai sensi della Sezione D.1, il presente Allegato intende soddisfare i requisiti applicabili dell’articolo 28(3) GDPR. Non qualifica il trattamento di Capafy come titolare indipendente come trattamento da responsabile:

---

D.15 Disposizioni generali

Modifiche al presente Allegato. Possiamo modificare il presente Allegato:

• per conformarci a una modifica della normativa applicabile sulla protezione dei dati o a una decisione vincolante di un’autorità di controllo competente;
• per riflettere modifiche ai sub-responsabili notificate ai sensi di §D.10; oppure
• per modifiche amministrative non materiali che non riducano i tuoi diritti o amplino le nostre attività di trattamento.

Per modifiche materiali, forniremo avviso in conformità con PA §14. Le Clausole Contrattuali Standard incorporate nel presente Allegato possono essere modificate solo come espressamente consentito dal quadro SCC applicabile; nulla nel presente Allegato prevale su o modifica alcuna disposizione SCC.

Ordine di prevalenza. In caso di conflitto tra il presente Allegato e il corpo dell’Accordo dell’Editore su una questione di trattamento dei dati, prevale il presente Allegato. Se si applicano Clausole Contrattuali Standard, queste prevalgono sul resto del presente Allegato nella misura del conflitto.

Legge applicabile e controversie. Il presente Allegato è regolato dalla legge di Singapore. Le controversie derivanti dal presente Allegato sono risolte secondo le disposizioni sulla risoluzione delle controversie dell’Accordo dell’Editore.

Lingua. L’inglese è l’unica lingua autorevole del presente Allegato. Qualsiasi traduzione è fornita solo a titolo di riferimento.

Accettazione. Il presente Allegato entra in vigore quando l’Accordo del Publisher è accettato ai sensi delle Sezioni 2.2 o 2.3. Le disposizioni sul responsabile delle Sezioni D.3–D.10 si applicano solo dal momento in cui Capafy inizia a trattare File dell’Agent o Dati di esecuzione dell’Agent in tempo reale come responsabile o sub-responsabile secondo D.1.

---

Appendice D-1 — Oggetto e dettagli del trattamento dei dati

La presente Appendice soddisfa i requisiti descrittivi dell’articolo 28(3)(a) del GDPR.

---

Appendice D-2 — Termini aggiuntivi per la normativa europea sulla protezione dei dati

D-2.1 Applicazione

La presente Appendice si applica quando la Normativa europea sulla protezione dei dati disciplina il trattamento dei dati personali ai sensi del presente Allegato. “Normativa europea sulla protezione dei dati” indica, a seconda dei casi: il Regolamento generale sulla protezione dei dati dell’UE (GDPR 2016/679); il UK GDPR e il Data Protection Act 2018; e la Legge federale svizzera sulla protezione dei dati (FADP).

Quando la presente Appendice confligge con il resto del presente Allegato su una questione disciplinata dalla Normativa europea sulla protezione dei dati, prevale la presente Appendice. Quando si applicano le Clausole Contrattuali Standard ai sensi di §D-2.4, le SCC prevalgono sul resto della presente Appendice e del presente Allegato nella misura del conflitto.

D-2.2 Definizioni aggiuntive

Paese adeguato — un paese, territorio o settore riconosciuto ai sensi della Normativa europea sulla protezione dei dati applicabile come in grado di fornire un livello adeguato di protezione dei dati personali (inclusi, ai fini del GDPR UE, i paesi elencati in una decisione di adeguatezza della Commissione europea).

SEE — lo Spazio Economico Europeo.

SCC — le Clausole Contrattuali Standard per il trasferimento di dati personali verso paesi terzi ai sensi del GDPR UE, adottate dalla Commissione europea con Decisione 2021/914 del 4 giugno 2021, nel modulo applicabile al trasferimento come indicato in §D-2.4.

UK IDTA — l’International Data Transfer Agreement emesso dall’Information Commissioner’s Office del Regno Unito, come modificato di volta in volta.

Autorità di controllo — l’autorità di controllo competente per la protezione dei dati ai sensi della Normativa europea sulla protezione dei dati applicabile.

D-2.3 Partner responsabile (contesto europeo)

Quando sei un Partner responsabile ai sensi di §D.3 e si applica la Normativa europea sulla protezione dei dati, devi inoltre:

• assicurare che il titolare del trattamento a monte sia stato informato e abbia autorizzato il sub-trattamento descritto nel presente Allegato, come richiesto dall’articolo 28(2) del GDPR; e
• inoltrare al titolare del trattamento pertinente, tempestivamente e senza indebito ritardo, qualsiasi avviso che ti forniamo ai sensi della presente Appendice e che il titolare abbia diritto di ricevere ai sensi della legge applicabile.

D-2.4 Trasferimenti di dati personali al di fuori del SEE, del Regno Unito o della Svizzera

Questa Sezione si applica solo quando Dati personali della categoria File dell’Agent o Dati di esecuzione dell’Agent in tempo reale sono trasferiti dal SEE, dal Regno Unito o dalla Svizzera a Capafy a Singapore e Capafy agisce come responsabile o sub-responsabile ai sensi della Sezione D.1.

Le Clausole contrattuali standard UE adottate dalla Decisione di esecuzione (UE) 2021/914 sono incorporate per tali trasferimenti come segue:

Quando Capafy raccoglie o conserva Log di esecuzione, Dati operativi, dati di account, checkout, pagamento o regolazione come titolare indipendente, questa Sezione non applica i Moduli Due o Tre a tale trattamento. Trasferimenti separati tra titolari devono essere valutati e documentati secondo il meccanismo applicabile.

Per trasferimenti nel Regno Unito si applica UK IDTA o un Addendum valido alle SCC UE, completato con Appendice D-1 e Sezioni D.7 e D.10. Per trasferimenti svizzeri si applicano le SCC con le modifiche richieste dal diritto svizzero.

D-2.5 Notifiche sulle istruzioni (contesto europeo)

Ti informeremo senza indebito ritardo se, secondo la nostra valutazione, un’Istruzione che ci hai impartito violerebbe la Normativa europea sulla protezione dei dati. Sospenderemo il trattamento interessato in attesa di un tuo chiarimento o di un’Istruzione rivista. Tale obbligo non pregiudica i nostri obblighi generali di notifica sulle istruzioni ai sensi di §D.3.

D-2.6 Diritti degli interessati (contesto europeo)

Tenuto conto della natura del trattamento, ti assisteremo nel rispondere alle richieste degli interessati ai sensi della Normativa europea sulla protezione dei dati con i mezzi descritti in §D.9. Quando un interessato ci invia direttamente una richiesta, Capafy ne confermerà la ricezione e verificherà l’identità ove praticabile. Capafy determinerà e gestirà le richieste relative ai trattamenti effettuati in qualità di titolare indipendente ai sensi della propria Privacy Policy e della legge applicabile. Per i trattamenti in qualità di responsabile o sub-responsabile nell’ambito della presente Appendice, Capafy fornirà l’assistenza descritta nella Sezione D.9 e, ove opportuno, potrà indirizzare l’interessato al Publisher o richiedere al Publisher informazioni limitate. Capafy non è tenuta a comunicare al Publisher l’indirizzo e-mail dell’account Capafy dell’interessato, il suo profilo personale o i log grezzi delle conversazioni degli Utenti, salvo ove richiesto dalla legge applicabile.

D-2.7 Notifica di Incidente di sicurezza (contesto europeo)

Quando un Incidente di sicurezza coinvolge dati personali protetti dalla Normativa europea sulla protezione dei dati:

• ti informeremo senza indebito ritardo e in ogni caso in tempo sufficiente per consentirti di adempiere ai tuoi obblighi di notifica ai sensi dell’articolo 33 del GDPR (72 ore dalla tua conoscenza di una violazione dei dati personali);
• la nostra notifica includerà, nella misura disponibile in quel momento: la natura dell’incidente; le categorie e il numero approssimativo di interessati e registrazioni colpite; probabili conseguenze; e misure adottate o proposte per affrontare l’incidente;
• collaboreremo con te e forniremo tutte le ulteriori informazioni ragionevolmente richieste per assisterti nella notifica all’Autorità di controllo pertinente e, ove richiesto, agli interessati colpiti.

D-2.8 Informazioni di conformità (contesto europeo)

Quando si applica la Normativa europea sulla protezione dei dati, metteremo a tua disposizione, su richiesta scritta, documentazione ragionevolmente necessaria a dimostrare la conformità ai nostri obblighi ai sensi dell’articolo 28 del GDPR. Soddisfiamo tale obbligo principalmente tramite documentazione scritta — incluse descrizioni delle nostre attività di trattamento dei dati, le misure di sicurezza descritte in §D.7 e qualsiasi valutazione o certificazione di sicurezza indipendente esistente che deteniamo. Accetti di trattare qualsiasi documentazione fornita come riservata.

D-2.9 Sub-responsabili (contesto europeo)

Quando si applica la Normativa europea sulla protezione dei dati, garantiamo che ciascun sub-responsabile sia vincolato da contratto scritto che impone obblighi di protezione dei dati equivalenti a quelli del presente Allegato, come richiesto dall’articolo 28(4) del GDPR. Restiamo responsabili verso di te per la prestazione dei sub-responsabili nella misura indicata in §D.10.

D-2.10 Registri di trattamento (contesto europeo)

Manteniamo registri delle attività di trattamento svolte per tuo conto come richiesto dall’articolo 30(2) del GDPR e li rendiamo disponibili all’Autorità di controllo competente su richiesta. Possiamo chiederti di confermare o aggiornare le informazioni di trattamento che ci hai fornito quando necessario per mantenere accurati i nostri registri.

D-2.11 Nessuna modifica delle SCC

Nulla nel presente Allegato (inclusa la presente Appendice) modifica le SCC o l’UK IDTA, né pregiudica i diritti degli interessati ai sensi della Normativa europea sulla protezione dei dati. In caso di conflitto tra le SCC o l’UK IDTA e qualsiasi altro termine del presente Allegato, prevalgono le SCC o l’UK IDTA (a seconda dei casi).

D-2.12 Aggiornamenti delle SCC

Possiamo aggiornare il modulo o la versione SCC incorporata ai sensi di §D-2.4 quando una nuova versione o versione sostitutiva viene adottata dall’autorità pertinente, a condizione che la versione aggiornata non riduca materialmente il livello di protezione accordato agli interessati. Ti forniremo ragionevole avviso di qualsiasi aggiornamento di questo tipo.

---

Il presente Allegato è emesso da CAPAFY PTE. LTD. (UEN: 202619379G)
Indirizzo registrato: 60 PAYA LEBAR ROAD, #11-47, PAYA LEBAR SQUARE, SINGAPORE 409051