Accordo trattamento dati di QR Code AI

ACCORDO SUL TRATTAMENTO DEI DATI (DPA)

Ultimo aggiornamento: 2 marzo 2026

Il presente Accordo sul trattamento dei dati («DPA») costituisce parte integrante dei Termini di servizio («Contratto») tra Supernovae, società registrata in Francia all'indirizzo 27 Rue Wurtz, Juvisy-sur-Orge 91260, numero di partita IVA FR67948452891 («Responsabile del trattamento», «noi»), e il soggetto che accetta il presente DPA («Titolare del trattamento», «tu»), congiuntamente denominati «Parti».

Il presente DPA si applica quando trattiamo dati personali per tuo conto nell'ambito dei nostri servizi QR Code AI, anche tramite l'API.

1. DEFINIZIONI

• «Dati personali» indica qualsiasi informazione riguardante una persona fisica identificata o identificabile, come definita dall'articolo 4, punto 1, del GDPR.
• «Trattamento» indica qualsiasi operazione o insieme di operazioni effettuate sui Dati personali, come definito dall'articolo 4, punto 2, del GDPR.
• «Interessato» indica la persona fisica identificata o identificabile a cui si riferiscono i Dati personali.
• «Sub-responsabile del trattamento» indica qualsiasi terzo incaricato dal Responsabile del trattamento di trattare Dati personali per conto del Titolare del trattamento.
• «GDPR» indica il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio.
• «UK GDPR» indica il Regolamento generale sulla protezione dei dati del Regno Unito, nella versione applicabile ai sensi del diritto britannico e da leggere congiuntamente al Data Protection Act 2018.
• «SCC» indica le clausole contrattuali tipo approvate dalla Commissione europea per il trasferimento di Dati personali verso paesi terzi.
• «Violazione dei dati personali» indica una violazione della sicurezza che comporta accidentalmente o illecitamente la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso non autorizzato ai Dati personali.

2. AMBITO DI APPLICAZIONE E RUOLI

2.1 Titolare e Responsabile del trattamento

Ai fini del presente DPA:

• Tu (Titolare del trattamento): Determini le finalità e i mezzi del trattamento dei Dati personali quando utilizzi i nostri Servizi, in particolare quando utilizzi la nostra API per generare QR code per i tuoi clienti o integri i nostri Servizi nei tuoi prodotti.
• Noi (Responsabile del trattamento): Trattiamo i Dati personali per tuo conto, secondo le tue istruzioni, come descritto nel presente DPA e nel Contratto.

2.2 Quando si applica il presente DPA

Il presente DPA si applica quando:

• Utilizzi l'API di QR Code AI per generare QR code che trattano dati dei tuoi utenti finali, ad esempio URL contenenti informazioni personali, dati vCard o recapiti codificati nei QR code.
• Utilizzi le funzionalità di tracciamento e analisi di QR Code AI che raccolgono dati sulle scansioni effettuate dai tuoi utenti finali.
• In qualsiasi altra situazione trattiamo Dati personali per tuo conto in qualità di responsabile del trattamento.

Quando utilizzi QR Code AI come singolo utente per finalità proprie, agiamo come titolare autonomo del trattamento e il trattamento dei dati è disciplinato dalla nostra Informativa sulla privacy.

3. DETTAGLI DEL TRATTAMENTO DEI DATI

3.1 Oggetto e durata

Trattiamo i Dati personali per la durata del Contratto al fine di fornire i servizi QR Code AI, tra cui generazione di QR code, tracciamento, analisi e funzionalità correlate.

3.2 Natura e finalità del trattamento

• Generazione di QR code a partire dai dati forniti dal Titolare del trattamento
• Tracciamento delle scansioni dei QR code e raccolta di dati di analisi
• Memorizzazione delle configurazioni dei QR code e dei relativi metadati
• Elaborazione delle richieste di QR code artistici generati con intelligenza artificiale (AI)
• Fornitura di rapporti e pannelli di analisi

3.3 Tipi di Dati personali

I Dati personali trattati possono includere:

• Recapiti (nomi, indirizzi e-mail, numeri di telefono) codificati nei QR code
• URL e indirizzi web
• Dati di localizzazione ricavati dalle scansioni dei QR code
• Informazioni sui dispositivi e indirizzi IP ricavati dalle scansioni dei QR code
• Prompt testuali e immagini forniti per la generazione di QR code con AI
• Qualsiasi altro dato che il Titolare del trattamento sceglie di codificare nei QR code

3.4 Categorie di Interessati

• Utenti finali che scansionano i QR code creati dal Titolare del trattamento
• Persone i cui recapiti sono codificati nei QR code
• Utenti dei prodotti o servizi del Titolare del trattamento che interagiscono con i QR code

4. OBBLIGHI DEL RESPONSABILE DEL TRATTAMENTO

4.1 Istruzioni per il trattamento

Tratteremo i Dati personali esclusivamente sulla base delle tue istruzioni documentate, salvo che il trattamento sia imposto dal diritto dell'UE o di uno Stato membro a cui siamo soggetti. In tal caso, ti informeremo dell'obbligo legale prima di procedere al trattamento, salvo che la legge vieti tale comunicazione per rilevanti motivi di interesse pubblico.

Ti informeremo immediatamente qualora, a nostro avviso, un'istruzione violi il GDPR o altre disposizioni applicabili dell'UE o degli Stati membri in materia di protezione dei dati.

4.2 Riservatezza

Garantiamo che le persone autorizzate a trattare i Dati personali si siano impegnate alla riservatezza o siano soggette a un adeguato obbligo legale di riservatezza.

4.3 Misure di sicurezza

Adottiamo misure tecniche e organizzative adeguate a garantire un livello di sicurezza proporzionato al rischio, tra cui:

• Cifratura dei Dati personali durante la trasmissione (TLS/HTTPS), con cifratura a riposo delle informazioni sensibili memorizzate
• Controlli degli accessi e autenticazione basata sui ruoli per i sistemi interni
• Valutazioni periodiche della sicurezza e scansioni delle vulnerabilità
• Infrastruttura ospitata da Scaleway e DigitalOcean, con misure di sicurezza e conformità che dipendono dal fornitore e dal servizio di hosting
• Protezione DDoS e firewall per applicazioni web (Cloudflare)
• Backup periodici con archiviazione cifrata
• Registrazione e monitoraggio degli accessi ai Dati personali

4.4 Sub-responsabili del trattamento

Utilizziamo i sub-responsabili indicati nella pagina Sub-responsabili del trattamento. Ti invieremo una comunicazione scritta per ogni aggiunta o sostituzione prevista di un sub-responsabile, concedendoti 30 giorni dalla comunicazione per opporti prima che la modifica abbia effetto. Puoi opporti contattandoci all'indirizzo [email protected] entro tale termine. Se ti opponi e non possiamo ragionevolmente accogliere la tua obiezione, ciascuna Parte può porre fine alla parte dei Servizi interessata.

Affideremo a un sub-responsabile il trattamento di Dati personali per tuo conto solo in base a un contratto scritto, compresi i termini elettronici applicabili, che imponga gli obblighi di protezione dei dati richiesti dall'articolo 28, paragrafo 4, del GDPR. Rimaniamo responsabili dei nostri sub-responsabili come previsto da tale articolo.

4.5 Diritti degli Interessati

Ti assisteremo nel rispondere alle richieste degli Interessati che esercitano i loro diritti ai sensi della normativa applicabile sulla protezione dei dati (accesso, rettifica, cancellazione, limitazione, portabilità e opposizione). Se riceviamo una richiesta direttamente da un Interessato, lo inviteremo tempestivamente a rivolgersi a te, salvo istruzioni diverse.

4.6 Assistenza per il rispetto degli obblighi

Ti assisteremo nel garantire il rispetto dei tuoi obblighi ai sensi degli articoli da 32 a 36 del GDPR, tenendo conto della natura del trattamento e delle informazioni a nostra disposizione.

5. NOTIFICA DELLE VIOLAZIONI DEI DATI PERSONALI

5.1 Termine di notifica

Ti notificheremo una Violazione dei dati personali senza ingiustificato ritardo e, in ogni caso, entro 72 ore da quando ne siamo venuti a conoscenza. La notifica verrà inviata all'indirizzo e-mail associato al tuo account.

5.2 Contenuto della notifica

La notifica includerà, nella misura in cui le informazioni siano disponibili:

• Una descrizione della natura della Violazione dei dati personali, comprese le categorie e il numero approssimativo degli Interessati coinvolti e delle registrazioni di Dati personali interessate dalla violazione.
• Il nome e i recapiti del nostro referente per la protezione dei dati.
• Una descrizione delle probabili conseguenze della Violazione dei dati personali.
• Una descrizione delle misure adottate o proposte per affrontare la Violazione dei dati personali, comprese quelle per attenuarne i possibili effetti negativi.

5.3 Collaborazione continuativa

Collaboreremo con te e forniremo un'assistenza ragionevole per indagare, contenere e porre rimedio a qualsiasi Violazione dei dati personali, nonché per effettuare le notifiche alle autorità di controllo o agli Interessati a cui sei tenuto.

6. TRASFERIMENTI INTERNAZIONALI DI DATI

6.1 Localizzazione dei dati

I Dati personali sono conservati e trattati principalmente nell'Unione europea:

• Francia (UE) tramite Scaleway
• Paesi Bassi (UE) tramite DigitalOcean

6.2 Trasferimenti al di fuori dell'UE o dello SEE

Alcuni dei nostri sub-responsabili si trovano al di fuori dell'UE o dello Spazio economico europeo (SEE), principalmente negli Stati Uniti. Per questi trasferimenti ci avvaliamo di:

• EU-US Data Privacy Framework: Ove applicabile, per i trasferimenti verso fornitori con sede negli Stati Uniti certificati nell'ambito di questo quadro.
• Clausole contrattuali tipo (SCC): Includiamo le SCC approvate dalla Commissione europea (Decisione di esecuzione (UE) 2021/914 della Commissione) negli accordi con i sub-responsabili situati al di fuori dell'UE o dello SEE quando il Data Privacy Framework non è applicabile.

6.3 Valutazione dell'impatto dei trasferimenti

Effettuiamo valutazioni dell'impatto dei trasferimenti verso paesi terzi e adottiamo misure supplementari ove necessario per garantire un livello adeguato di protezione dei dati.

7. AUDIT E ISPEZIONI

7.1 Diritto di audit

Hai il diritto di verificare il nostro rispetto del presente DPA. Metteremo a tua disposizione tutte le informazioni necessarie per dimostrare tale rispetto e consentiremo e agevoleremo gli audit, comprese le ispezioni, svolti da te o da un revisore da te incaricato.

7.2 Procedura di audit

Le seguenti modalità si applicano agli audit solo nella misura in cui non limitino diritti o obblighi previsti dalla normativa applicabile sulla protezione dei dati:

• Devi fornire un preavviso scritto di almeno 30 giorni prima di qualsiasi audit.
• Gli audit possono essere condotti al massimo una volta all'anno, salvo che un'autorità di controllo li richieda o che si svolgano a seguito di una Violazione dei dati personali.
• Gli audit devono svolgersi durante il normale orario lavorativo e non devono interferire in modo irragionevole con le nostre attività.
• I costi dell'audit sono a tuo carico, salvo che l'audit riveli una violazione sostanziale del presente DPA.
• Le informazioni riservate degli altri nostri clienti non devono essere divulgate durante l'audit.

8. CONSERVAZIONE E CANCELLAZIONE DEI DATI

8.1 Durante il Contratto

Conserviamo i Dati personali per la durata del Contratto nella misura necessaria a fornire i Servizi.

8.2 Alla cessazione

Alla cessazione del Contratto o su tua richiesta scritta:

• A tua scelta, cancelleremo i Dati personali oppure te li restituiremo e cancelleremo le copie residue dai nostri sistemi attivi entro 30 giorni.
• I Dati personali negli archivi di backup verranno eliminati entro 6 mesi. Fino ad allora rimarranno protetti e non saranno utilizzati per altre finalità, salvo che la legge applicabile imponga diversamente.
• Potremo conservare Dati personali nella misura richiesta dalla legge applicabile, ad esempio per obblighi fiscali o contabili. In tal caso, isoleremo e proteggeremo tali dati e limiteremo il trattamento ulteriore a quanto richiesto dalla legge.

8.3 Attestazione

Su tua richiesta, forniremo una conferma scritta che i Dati personali sono stati cancellati conformemente a questa sezione.

9. RESPONSABILITÀ

La responsabilità di ciascuna Parte ai sensi del presente DPA è soggetta alle limitazioni di responsabilità previste dal Contratto. Nessuna disposizione del presente DPA limita la responsabilità di una delle Parti nei confronti degli Interessati o delle autorità di controllo ai sensi della normativa applicabile sulla protezione dei dati.

10. LEGGE APPLICABILE

Il presente DPA è disciplinato dal diritto francese. Il GDPR e l'UK GDPR si applicano nella misura in cui il trattamento rientri nel rispettivo ambito di applicazione giuridico. Le controversie derivanti dal presente DPA saranno risolte secondo le disposizioni del Contratto relative alla risoluzione delle controversie.

11. COME CONCLUDERE IL PRESENTE DPA

Il presente DPA è incorporato nei Termini di servizio e ne costituisce parte integrante. Utilizzando i Servizi QR Code AI, accetti il presente DPA.

Se hai bisogno di una copia del DPA firmata separatamente per i tuoi archivi, contattaci all'indirizzo [email protected]: te la forniremo entro 10 giorni lavorativi.

12. CONTATTI

Per domande sul presente DPA o sulle nostre pratiche di trattamento dei dati:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 Francia [email protected]