ACCORDO SUL TRATTAMENTO DEI DATI PERSONALI (art. 28 GDPR)

IKFace · INFOKRAUSE S.R.L. · v1.1 (2026-10-24) · In vigore dall'accettazione del Cliente / Vigente desde la aceptación del Cliente / Effective upon the Customer's acceptance

Parti. Il Cliente indicato nel Pedido/Ordine, titolare del trattamento (il «Titolare»), e INFOKRAUSE S.R.L., C.F./P. IVA 04126260928, Via delle Speronelle 15, 09045 Quartu Sant'Elena (CA), Italia, responsabile del trattamento (il «Responsabile»).

1. Ambito. Il presente accordo si applica quando il Responsabile tratta dati personali per conto del Titolare nell'ambito del servizio IKFace Managed, dell'assistenza remota o della sincronizzazione con servizi del Responsabile. L'oggetto, la natura, le finalità, i tipi di dati e le categorie di interessati sono descritti nell'Allegato 1.

2. Istruzioni. Il Responsabile tratta i dati solo su istruzioni documentate del Titolare, costituite da questo accordo, dalla configurazione di IKFace scelta dal Titolare e dalle sue richieste scritte, salvo obblighi di legge. Se ritiene un'istruzione contraria alla legge, lo comunica al Titolare.

3. Riservatezza e sicurezza. Il Responsabile garantisce che le persone autorizzate al trattamento siano vincolate alla riservatezza e adotta le misure tecniche e organizzative dell'Allegato 2 (art. 32 GDPR).

4. Sub-responsabili. Il Titolare autorizza in via generale il ricorso ai sub-responsabili dell'Allegato 3. Il Responsabile comunica con 30 giorni di anticipo ogni aggiunta o sostituzione; il Titolare può opporsi per motivi ragionevoli. Il Responsabile impone ai sub-responsabili gli stessi obblighi e ne risponde.

5. Trasferimenti. I dati non sono trasferiti fuori dallo Spazio economico europeo, salvo verso paesi con decisione di adeguatezza o con le clausole contrattuali tipo della Commissione europea o altra garanzia dell'art. 46 GDPR.

6. Assistenza al Titolare. Il Responsabile assiste il Titolare, tenuto conto della natura del trattamento, nel rispondere alle richieste degli interessati e negli adempimenti degli artt. 32–36 GDPR (sicurezza, violazioni, valutazione d'impatto, consultazione preventiva).

7. Violazioni dei dati. Il Responsabile informa il Titolare senza ingiustificato ritardo, e comunque entro 48 ore dalla conoscenza, di qualsiasi violazione dei dati personali, fornendo le informazioni disponibili.

8. Fine del trattamento. Alla cessazione del servizio il Responsabile, a scelta del Titolare, restituisce o cancella i dati personali e le copie in suo possesso entro 30 giorni, salvo obblighi di conservazione di legge.

9. Verifiche. Il Responsabile mette a disposizione le informazioni necessarie a dimostrare il rispetto del presente accordo e consente verifiche del Titolare o di un revisore da esso incaricato, con preavviso di 30 giorni e non più di una volta l'anno, salvo violazioni.

10. Durata, legge e lingua. Il presente accordo ha la stessa durata del servizio e prevale su ogni altro accordo in materia di dati personali. Legge italiana; foro di Cagliari. Redatto in italiano, spagnolo e inglese; in caso di discrepanza prevale il testo italiano.

Allegato 1 — Descrizione del trattamento. Oggetto e natura: amministrazione, manutenzione, aggiornamento e assistenza di IKFace, con accesso eventuale ai dati memorizzati. Finalità: prestare il servizio contrattato. Tipi di dati: dati identificativi delle persone registrate (nome, identificativo, categoria), immagini del volto, modelli biometrici (embedding), eventi di riconoscimento e di accesso con data, ora e telecamera, dati demografici statistici, dati degli utenti di IKFace e registri di audit. Categorie di dati particolari: dati biometrici (art. 9 GDPR). Interessati: dipendenti, visitatori, clienti e altre persone riprese o registrate dal Titolare; utenti di IKFace. Durata: quella del servizio.

Allegato 2 — Misure di sicurezza. Accesso remoto riservato al personale autorizzato del Responsabile, con credenziali gestite in un sistema centralizzato di gestione dei segreti e accessi registrati; controllo degli accessi per ruoli e ambiti; password degli utenti memorizzate con algoritmo robusto (scrypt); separazione logica dei dati per cliente; aggiornamenti di sicurezza gestiti dal Responsabile; registri di audit delle operazioni; personale vincolato alla riservatezza. Ubicazione dei dati: i dati restano sull'appliance del Titolare; la sincronizzazione con un server è disattivata di default e, se attivata dal Titolare, usa TLS verso il server da esso indicato. Copie di sicurezza: l'appliance genera copie locali del database prima di ogni aggiornamento, conservate sull'appliance stessa; non sono cifrate dall'applicazione. Cifratura a riposo: non fornita dall'applicazione; il Titolare può adottare la cifratura del disco o del volume.

Allegato 3 — Sub-responsabili autorizzati. Tecnologías IP Limitada, RUT 76.013.135-0, Santiago (Cile): assistenza di primo livello ai clienti in Cile, con clausole contrattuali tipo della Commissione europea (trasferimento verso il Cile). Google Ireland Ltd / Google LLC: posta elettronica (Google Workspace) e risposta automatica della chat di assistenza tramite intelligenza artificiale (Google Gemini API); trasferimenti negli USA tramite EU-US Data Privacy Framework o clausole contrattuali tipo. Le piattaforme di chat e ticketing (Chatwoot, chat.infokrause.cl e soporte.infokrause.cl) sono gestite da INFOKRAUSE su server propri situati in Cile; il trasferimento verso il Cile è coperto dalle clausole contrattuali tipo sottoscritte con Tecnologías IP Limitada.