tra l’impresa che ordina presso di noi un’analisi o prenota un’area team (titolare del trattamento, di seguito «cliente») e seora.one, Peter R. Stuhlmann, Martha-Arendsee-Str. 10, 12681 Berlin (responsabile del trattamento, di seguito «fornitore»). Il presente accordo si conclude con l’ordine di un’analisi da parte di un imprenditore (§ 14 BGB) o con la prenotazione di un piano team e integra le condizioni generali. Esso disciplina il trattamento di dati personali per conto del titolare ai sensi dell’art. 28 del Regolamento generale sulla protezione dei dati (GDPR).
1 Oggetto e durata
Il fornitore analizza siti web per il cliente e gli mette a disposizione i risultati; per i piani team mette inoltre a disposizione un’area team. In tale ambito tratta dati personali per conto del cliente, nella misura in cui riguardano il sito web del cliente, le sue fonti di dati e il suo team.
L’accordo vale finché il cliente ha analisi salvate presso di noi o utilizza un piano team e termina con la cancellazione dell’ultima analisi o dell’area team. Non sono compresi i dati che il fornitore tratta in qualità di titolare autonomo del trattamento: l’account del cliente, ordine, pagamento e fattura, la comunicazione con il cliente nonché la consultazione di dati pubblici sui concorrenti e sulle persone indicate da un sito web analizzato (informativa sulla privacy del fornitore).
2 Tipo di dati, finalità, interessati
Interessati: persone indicate sul sito web del cliente (ad esempio titolari, dipendenti, autori); visitatori del sito web del cliente in forma aggregata, nella misura in cui il cliente collega fonti di dati; dipendenti e incaricati del cliente che questi invita nell’area team (membri), nonché persone con cui i report vengono condivisi tramite link.
Dati dell’analisi: testi, metadati e screenshot di pagine pubblicamente raggiungibili del sito web del cliente, compresi i dati su persone ivi pubblicati; le indicazioni del cliente per l’analisi (azienda, settore, regione, obiettivi, gruppo target, concorrenti, informazioni sull’attività); dati provenienti dalle fonti di dati che il cliente collega – Search Console (query di ricerca e pagine con clic, impressioni, percentuale di clic, posizione), Google Analytics (dati aggregati sulle visite per canale, pagina di destinazione, dispositivo e paese, nessun dato di singoli visitatori), Tag Manager (contenitore pubblicato), Matomo e Microsoft Clarity (valori aggregati per pagina); stato, responsabili e commenti nel tracker degli interventi; link di condivisione (nome, validità, accessi senza indirizzo IP).
Dati dei membri: nome, indirizzo e-mail e ruolo, la loro immagine del profilo, se ne caricano una; orari di accesso e dispositivi per la gestione delle sessioni (indirizzo IP abbreviato); in caso di accesso con Google o LinkedIn l’identificativo dell’account presso tali servizi e il relativo indirizzo e-mail; diritti per membro; quale membro ha avviato quale analisi; inviti (indirizzo e-mail, diritti, messaggio personale) e adesioni tramite link di invito non ancora confermate (nome, indirizzo e-mail); conversazioni dei membri con l’assistente IA; il registro degli accessi delle app collegate; il registro del team.
Finalità: esecuzione, visualizzazione e condivisione delle analisi; messa a disposizione dell’area team, accesso, gestione dei membri e dei diritti, tracciabilità per l’amministratore del team, notifiche via e-mail, risposte dell’assistente IA alle domande dei membri.
3 Istruzioni
Il fornitore tratta i dati soltanto su istruzione documentata del cliente – vale a dire secondo quanto previsto dal presente accordo, dalla descrizione delle prestazioni, dalle indicazioni del cliente al momento dell’ordine e dalle impostazioni nell’account o nell’area team. Ulteriori istruzioni il cliente le impartisce in forma testuale all’indirizzo e-mail del fornitore. Se il fornitore ritiene un’istruzione illecita, ne informa il cliente. Della liceità del trattamento nei confronti degli interessati – compresa la loro informazione e, ove presente, il coinvolgimento della rappresentanza aziendale dei lavoratori (il registro e l’indicazione «avviata da» consentono di riconoscere chi ha fatto cosa) – è responsabile il cliente.
4 Obblighi del responsabile del trattamento
Il fornitore vincola alla riservatezza tutte le persone coinvolte nel trattamento, assiste il cliente nella misura consueta e senza costi aggiuntivi in caso di richieste degli interessati, di valutazioni d’impatto sulla protezione dei dati e di notifiche alle autorità di controllo e tiene un registro delle attività di trattamento. Il fornitore non è tenuto a designare un responsabile della protezione dei dati e non lo ha designato; l’interlocutore è il fornitore al suo indirizzo e-mail.
5 Sicurezza del trattamento
Il fornitore adotta le misure tecniche e organizzative descritte nell’Allegato 1 e le mantiene allo stato dell’arte. Può adeguarle purché il livello di protezione non diminuisca.
6 Sub-responsabili
Il cliente acconsente al ricorso ai sub-responsabili indicati nell’Allegato 2. Il fornitore annuncia sub-responsabili nuovi o sostituiti con almeno 30 giorni di anticipo su questa pagina e via e-mail agli amministratori del team. Il cliente può opporsi per giustificato motivo; se non è possibile trovare una soluzione, può disdire il piano team con effetto dal momento della modifica o cancellare le proprie analisi. Il fornitore vincola contrattualmente i sub-responsabili a un livello di protezione equivalente.
7 Trasferimento verso paesi terzi
L’applicazione e il relativo database sono eseguiti in Germania. Nella misura in cui i sub-responsabili trattano dati al di fuori dell’UE (si veda l’Allegato 2), ciò avviene soltanto con garanzie adeguate ai sensi degli artt. 44 e segg. GDPR – una decisione di adeguatezza come l’EU-US Data Privacy Framework o le clausole contrattuali tipo della Commissione europea.
8 Diritti degli interessati
Se un interessato si rivolge al fornitore con una richiesta (accesso, rettifica, cancellazione …), questi la inoltra senza indugio al cliente e lo assiste nella risposta. Il cliente può cancellare personalmente le analisi; l’amministratore del team può rimuovere personalmente i membri nell’area team – il fornitore cancella in tal caso l’accesso di tale persona a questo team. Le analisi che ha avviato restano nel team.
9 Violazioni dei dati personali
Il fornitore notifica al cliente le violazioni dei dati personali senza indugio, al più tardi entro 48 ore dal momento in cui ne è venuto a conoscenza, con le informazioni di cui il cliente ha bisogno per la propria notifica, e adotta le misure necessarie per limitarne le conseguenze.
10 Prove e controlli
Il fornitore dimostra su richiesta il rispetto del presente accordo, di norma tramite informazioni e documenti. Verifiche in loco sono possibili previo preavviso di almeno quattro settimane durante il normale orario lavorativo, al massimo una volta all’anno, salvo che sussista un motivo particolare; non devono mettere a rischio il funzionamento né la riservatezza dei dati di altri clienti. I costi di una verifica in loco senza motivo particolare sono a carico del cliente.
11 Cancellazione e restituzione
Durante la durata il fornitore cancella le voci nel registro di un team dopo 3 mesi, le voci nel registro delle app collegate dopo 90 giorni, le annotazioni sulle e-mail inviate dopo 90 giorni e le conversazioni con l’assistente IA dopo 180 giorni senza attività. Le annotazioni su ciò che un termine di cancellazione ha rimosso automaticamente (soltanto numeri e identificativi) le cancella dopo 12 mesi. Se l’amministratore del team rimuove un membro, il suo accesso termina immediatamente e il fornitore cancella l’accesso di tale persona a questo team, comprese le relative sessioni, conversazioni con l’assistente IA e app collegate. Se il cliente cancella un’analisi, il fornitore la cancella immediatamente, compresi screenshot, download, condivisioni e dati provenienti dalle fonti di dati.
Al termine dell’area team i membri vengono disconnessi e tutti i link di condivisione chiusi. L’amministratore del team può ancora consultare e scaricare analisi, download (PDF e foglio di calcolo) e fatture per 30 giorni. Successivamente il fornitore cancella completamente il team – analisi, condivisioni, account dei membri, inviti e registro –, salvo che sussista un obbligo legale di conservazione (fatture: 8 anni). Le copie nei backup scadono al più tardi dopo 14 giorni. Se il fornitore blocca un’area team, questa è chiusa per tutti.
12 Disposizioni finali
In caso di contraddizioni tra il presente accordo e le condizioni generali, nelle questioni di protezione dei dati prevale il presente accordo. Per la responsabilità si applicano l’art. 82 GDPR e, per il resto, le disposizioni delle condizioni generali. Il fornitore annuncia le modifiche con il preavviso di cui al punto 6; fa fede la versione indicata in alto. Si applica il diritto tedesco.
Allegato 1 – Misure di protezione
- Accesso al sistema: accesso tramite link via e-mail, password (conservata soltanto come valore di controllo, verificata rispetto a violazioni di dati note) o – se configurato – con Google o LinkedIn (il fornitore riceve soltanto identificativo, indirizzo e-mail e nome dell’account presso tali servizi – da LinkedIn inoltre il link all’immagine del profilo e l’impostazione della lingua, che scarta –, nessun accesso ai dati ivi presenti); tentativi di accesso limitati; sessioni per dispositivo consultabili e terminabili; gli account di team valgono soltanto sull’indirizzo del rispettivo team.
- Accesso ai dati: separazione dei dati per account e per team; diritti per membro (leggere, avviare, condividere), gestione soltanto da parte dell’amministratore del team; link di condivisione con data di scadenza, password e blocco, i destinatari possono soltanto leggere.
- Trasmissione: esclusivamente cifrata (TLS); gli indirizzi dei team, le analisi e le condivisioni sono bloccati per i motori di ricerca.
- Tracciabilità: registro per team, cancellazione dopo 3 mesi; registro degli accessi delle app collegate.
- Protezione dagli abusi: limiti al numero di richieste per accesso, prenotazione e download; viene conservato soltanto un valore di controllo cifrato (pseudonimo), mai l’indirizzo IP o l’indirizzo e-mail stesso.
- Server: funzionamento in un centro dati a Francoforte sul Meno; accesso amministrativo al server soltanto per il fornitore e soltanto in forma cifrata; l’applicazione viene eseguita separatamente in container senza diritti di amministratore; gli aggiornamenti vengono verificati automaticamente prima dell’installazione.
- Backup dei dati: backup giornaliero del database e della cartella dati; conservazione per 14 giorni sul server e per 30 giorni in una copia presso il fornitore in Germania; un elenco delle cancellazioni garantisce che ciò che è stato cancellato resti cancellato dopo il ripristino di un backup.
- Segreti: le chiavi di accesso del fornitore ai servizi si trovano soltanto nell’ambiente del server – non nel database e non nell’interfaccia. Se un cliente registra propri accessi a servizi di IA, il fornitore conserva tali chiavi in forma cifrata; l’interfaccia ne mostra soltanto gli ultimi quattro caratteri. Se un cliente, su propria richiesta, salva un accesso a una fonte di dati (Google, Matomo, Microsoft Clarity) per le analisi di follow-up di un pacchetto annuale, tale accesso è conservato anch’esso in forma cifrata nel database – al massimo fino all’ultima analisi di follow-up del pacchetto, al rimborso del pacchetto, alla cancellazione dell’account o finché il cliente non lo scollega.
- Organizzazione: accesso ai dati dei clienti soltanto nella misura necessaria per il funzionamento, la correzione di errori o una richiesta del cliente; le esportazioni di dati personali da parte del fornitore vengono annotate.
Allegato 2 – Sub-responsabili
Quale fornitore svolge quale compito lo stabiliscono le impostazioni della piattaforma; l’elenco mostra lo stato odierno. I testi del report li scrive OpenAI, i suggerimenti nel modulo d’ordine OpenAI; l’assistente IA funziona tramite OpenAI, la traduzione dei report tramite OpenAI; per la visibilità nelle risposte dell’IA interroghiamo ChatGPT, Gemini, Perplexity e Claude.
Hostinger International Ltd.
- Prestazione
Server (VPS): funzionamento dell’applicazione e conservazione di tutti i dati
- Luogo del trattamento
Cipro (sede); centro dati a Francoforte sul Meno, Germania
- Dati
tutti i dati di cui al punto 2
Resend
- Prestazione
- Invio di e-mail (inviti, link di accesso, avvisi sul contingente, «Il report è pronto»)
- ricezione di e-mail agli indirizzi del fornitore
- Luogo del trattamento
Stati Uniti – EU-US Data Privacy Framework (certificata)
- Dati
nome, indirizzo e-mail, contenuto del rispettivo messaggio – per gli inviti anche il messaggio personale dell’amministratore del team
OpenAI Ireland Ltd.
- Prestazione
- Testi del report (modello di analisi)
- Suggerimenti nel modulo d’ordine
- Assistente IA
- Traduzione dei report
- Interrogazioni sulla visibilità in ChatGPT
- Luogo del trattamento
Irlanda; accesso dagli Stati Uniti sulla base delle clausole contrattuali tipo dell’UE
- Dati
- Testi del report: contenuti del sito web analizzato – anche persone ivi indicate –, valori misurati e le indicazioni per l’analisi (azienda, settore, regione, obiettivi, gruppo target, concorrenti); se il cliente li ha collegati, anche dati della Search Console (query di ricerca e pagine con clic, impressioni, percentuale di clic, posizione) e di Google Analytics (nome della proprietà; sessioni, interazione e conversioni per canale, pagina di destinazione, dispositivo e paese).
- Suggerimenti: indirizzo, titolo, descrizione, intestazioni e un estratto di testo della pagina iniziale, il testo delle note legali e la ragione sociale.
- Assistente IA: i messaggi del membro e – se lo chiede – contenuti delle analisi nonché dati del suo account e relativi al team: nome, indirizzo e-mail, dispositivi connessi (senza indirizzo IP), ruolo, diritti e consumo, per l’amministratore del team anche informazioni sull’abbonamento; indirizzo di fatturazione e numero di identificazione IVA, se registrati nell’account.
- Traduzione: i testi del report.
- Visibilità: domande sul sito web analizzato, sul marchio e sul settore.
Anthropic Ireland, Limited
- Prestazione
- Interrogazioni sulla visibilità in Claude
- Ricerca web dei concorrenti
- Luogo del trattamento
Irlanda; accesso dagli Stati Uniti sulla base delle clausole contrattuali tipo dell’UE
- Dati
- Visibilità: domande sul sito web analizzato, sul marchio e sul settore.
- Concorrenti: dominio, offerta e regione del sito web analizzato.
- Nessun dato di account o dei membri.
Google Ireland Limited / Google LLC
- Prestazione
- Interrogazioni sulla visibilità in Gemini
- Misurazione dei tempi di caricamento con PageSpeed Insights e Chrome UX Report
- Entità su Google (Knowledge Graph, Natural Language)
- Search Console – solo se il cliente la collega per un’analisi
- Google Analytics – solo se il cliente lo condivide per un’analisi
- Google Tag Manager – solo se il cliente lo condivide per un’analisi
- Luogo del trattamento
Irlanda e Stati Uniti – Google LLC certificata ai sensi dell’EU-US Data Privacy Framework
- Dati
- Visibilità: domande sul sito web analizzato, sul marchio e sul settore.
- Tempi di caricamento: indirizzi delle pagine verificate.
- Entità: nome dell’azienda ed estratti di testo della home page e della pagina «Chi siamo» del sito analizzato.
- Search Console: l’accesso a Google; vengono letti i dati sui clic e sulle ricerche del sito web collegato.
- Google Analytics: l’accesso a Google; vengono letti dati aggregati sulle visite del sito web collegato (sessioni, canali, pagine di destinazione, dispositivi, paesi, conversioni), nessun dato di singoli visitatori.
- Google Tag Manager: l’accesso a Google; viene letta la versione pubblicata del contenitore del sito web collegato (tipi e nomi dei tag, ID di misurazione, impostazioni del consenso), nessun dato dei visitatori.
- Nessun dato di account o dei membri.
Perplexity AI, Inc.
- Prestazione
Interrogazioni sulla visibilità in Perplexity
- Luogo del trattamento
Stati Uniti – clausole contrattuali tipo dell’UE; nessuna conservazione delle richieste
- Dati
- Visibilità: domande sul sito web analizzato, sul marchio e sul settore.
- Nessun dato di account o dei membri.
DataForSEO OÜ
- Prestazione
- Risultati di ricerca, indicatori sulle parole chiave e backlink
- profilo dell’attività, recensioni, menzioni e risposte delle ricerche con IA sul sito web analizzato
- Luogo del trattamento
Estonia (UE)
- Dati
parole chiave, domini, ragione sociale e domande sul sito web analizzato; nomi di persone che il sito web analizzato stesso indica come titolari o autori (ricerca di profili professionali) – nessun dato di account o dei membri
ElevenLabs (Eleven Labs Inc.)
- Prestazione
Sonorizzazione del video di analisi – solo con il modulo aggiuntivo
- Luogo del trattamento
Stati Uniti – EU-US Data Privacy Framework (certificata)
- Dati
il testo parlato del video: azienda, sito web e risultati dell’analisi – nessun dato di account o dei membri
I pagamenti sono gestiti da Stripe Payments Europe, Limited (Irlanda) in qualità di titolare autonomo del trattamento; a tal fine Stripe riceve i dati di fatturazione del cliente, nessun dato dei membri.
L’applicazione richiama inoltre servizi che non ricevono dati dei membri né dati su persone: l’interfaccia VIES della Commissione europea (il numero di identificazione IVA del cliente), «Pwned Passwords» di Have I Been Pwned (i primi 5 caratteri di un valore di controllo quando qualcuno imposta una password) nonché registri e archivi pubblici per l’analisi – Wikidata, la Wikimedia Foundation (numero di visualizzazioni di un articolo di Wikipedia), registri dei domini (RDAP), Internet Archive, elenchi di certificati TLS, Common Crawl, HTTP Archive, le librerie di annunci di Google e Meta e Brave Search; essi ricevono dominio e ragione sociale del sito web analizzato, Wikimedia il titolo dell’articolo.