Addendum sul trattamento dei dati

Ruoli e ambito

Il cliente è il titolare del trattamento (Responsable del Tratamiento) e [persona giuridica Sixto, S.A.S.] è il responsabile del trattamento (Encargado del Tratamiento) per i dati personali inseriti in Sixto dal cliente o dai suoi ospiti. Il DPA definisce l’oggetto (fornitura di Sixto), la durata (abbonamento più periodo di cancellazione), la natura e le finalità (hosting e trattamento per prenotazioni, comunicazioni con gli ospiti, dichiarazioni di conformità, contabilità e attività operative), le tipologie di dati (identificazione e contatto, viaggio, documenti d’identità, registrazioni di pagamento, messaggi e dati del team) e le categorie di persone (ospiti, membri del team, proprietari e contatti).

Per i dati dei visitatori del sito web e dei titolari di account, Sixto agisce come titolare del trattamento, come descritto nell’Informativa sulla privacy.

Obblighi del responsabile del trattamento

Sixto si impegna a:

• trattare i dati personali soltanto secondo le istruzioni documentate del cliente, ossia i Termini, il DPA e l’uso del prodotto da parte del cliente, e informarlo se un’istruzione sembra violare la legge;
• assicurare che le persone che accedono ai dati personali siano vincolate alla riservatezza;
• non vendere i dati, non usarli per pubblicità o profilazione e non usarli per addestrare modelli di IA;
• tenere un registro delle proprie attività di trattamento e cooperare con le autorità del cliente quando richiesto dalla legge;
• trattare i dati in conformità alla Ley 1581 de 2012 e ai suoi regolamenti, nonché al GDPR ove applicabile.

Sub-responsabili del trattamento

Il cliente concede a Sixto un’autorizzazione generale all’impiego di sub-responsabili. Ciascuno è vincolato da un accordo scritto con obblighi di protezione dei dati non meno rigorosi di quelli del DPA e Sixto ne rimane responsabile. Le categorie e le finalità sono indicate nella pagina Sub-responsabili; l’elenco aggiornato dei singoli fornitori è disponibile su richiesta.

Prima di aggiungere o sostituire un sub-responsabile che tratta dati personali del cliente, lo informiamo via email o nell’app, normalmente con almeno 30 giorni di anticipo. Il cliente può opporsi per ragionevoli motivi di protezione dei dati; cercheremo una soluzione insieme oppure, in mancanza, potrà risolvere il servizio interessato.

Misure di sicurezza

Sixto mantiene misure tecniche e organizzative adeguate al rischio, tra cui:

• cifratura dei dati in transito;
• separazione logica dei dati di ogni cliente, applicata nell’applicazione;
• autorizzazioni basate sui ruoli; le chiavi API a portata limitata e gli agenti connessi non ottengono mai più permessi della persona che li ha configurati;
• registri di audit delle azioni sensibili;
• archivio protetto delle credenziali segrete delle integrazioni;
• oscuramento delle informazioni sensibili prima di inviare testi ai fornitori di IA e lettura dei documenti d’identità degli ospiti mediante IA solo con il consenso dell’ospite;
• accesso dell’assistenza all’account del cliente solo con il suo consenso, in sola lettura per impostazione predefinita e registrato;
• backup regolari e controlli di accesso ai sistemi di produzione.

Ulteriori dettagli si trovano nella pagina Sicurezza e nel DPA integrale.

Violazione dei dati personali

Se Sixto viene a conoscenza di una violazione della sicurezza che comporta la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso non autorizzato ai dati personali del cliente, accidentalmente o illecitamente, avviserà il cliente senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuta a conoscenza. La notifica descriverà quanto noto sulla natura della violazione, sui dati e sulle persone coinvolte, sulle probabili conseguenze e sulle misure adottate o previste, e sarà aggiornata man mano che emergeranno nuove informazioni. Il cliente decide se informare la SIC (Superintendencia de Industria y Comercio), altre autorità o le persone interessate; Sixto lo assisterà.

Assistenza al cliente

Tenendo conto della natura del trattamento, Sixto aiuterà il cliente a rispondere alle richieste delle persone che esercitano i propri diritti (accesso, aggiornamento, rettifica, cancellazione, revoca, portabilità e opposizione), a svolgere valutazioni d’impatto e a consultare le autorità. Il prodotto include strumenti di esportazione e cancellazione. Se una persona contatta direttamente Sixto in merito ai dati del cliente, inoltriamo la richiesta al cliente e non rispondiamo direttamente, salvo obbligo di legge.

Trasferimenti internazionali

I dati personali dei clienti possono essere trattati fuori dalla Colombia. Sixto assicurerà che i trasferimenti si fondino su un meccanismo legittimo, come gli standard e le garanzie riconosciuti dalla SIC o, per i dati soggetti al GDPR, le clausole contrattuali standard, includendoli nel DPA integrale quando necessario.

Restituzione e cancellazione

Il cliente può esportare i propri dati mentre l’account è attivo. Dopo la cessazione, Sixto rende i dati disponibili per l’esportazione per 30 giorni, quindi li cancella dai sistemi attivi e dai backup man mano che questi scadono, salvo che la legge imponga di conservare alcuni documenti. Su richiesta, Sixto conferma per iscritto la cancellazione.

Verifiche e informazioni

Sixto fornirà al cliente le informazioni necessarie a dimostrare la conformità al DPA, per esempio risposte a un ragionevole questionario sulla sicurezza e una sintesi delle misure adottate. Se non bastano, il cliente può svolgere una verifica non più di una volta all’anno, salvo che vi sia stata una violazione, con ragionevole preavviso, durante l’orario di lavoro, nel rispetto della riservatezza e senza esporre i dati di altri clienti. I ragionevoli costi della verifica sono a carico del cliente.

Richiedi il DPA integrale

Per ottenere il DPA integrale, una copia da sottoscrivere, l’elenco aggiornato dei sub-responsabili o per porre una domanda, scrivi a [email protected]. Indica il nome della tua azienda e l’indirizzo email del titolare dell’account.