Accordo sul trattamento dei dati

Il presente Accordo sul trattamento dei dati ("DPA") costituisce parte integrante dei Termini e condizioni tra il cliente (l'azienda che sottoscrive LetsBot, "tu") e BOT FOR DIGITAL SOLUTIONS LIMITED, società registrata in Inghilterra e Galles con il numero 15477940, con sede in 71-75 Shelton Street, Covent Garden, Londra WC2H 9JQ, Regno Unito ("LetsBot", "noi").

Accettando i Termini e condizioni, aderisci anche al presente DPA, comprese le clausole di trasferimento incorporate per riferimento negli Allegati da IV a VI. Esse si applicano automaticamente a ogni cliente dal momento dell'accettazione, prima di qualsiasi trasferimento di Dati personali del cliente, e non è necessaria alcuna firma.

Copie firmate e documenti personalizzati. Su richiesta all'indirizzo support@letsbot.net, ti forniremo una copia del presente DPA controfirmata da noi, oppure un accordo o documento personalizzato di cui la tua organizzazione ha bisogno, come un set compilato di clausole di trasferimento.

Ordine di prevalenza. In caso di conflitto, prevalgono le clausole di trasferimento degli Allegati da IV a VI, poi il presente DPA, quindi i Termini e condizioni.

Lingua. Fa fede la versione inglese del presente DPA; la versione araba è fornita per comodità. Per le clausole standard dell'ANPD brasiliana, fa fede il testo ufficiale in portoghese.

• Dati personali del cliente: i dati personali che trattiamo per tuo conto nella fornitura del servizio, compresi i dati dei tuoi contatti, i messaggi, i contenuti multimediali e gli ordini. I dettagli sono riportati nell'Allegato I.
• Sub-responsabile del trattamento: qualsiasi terza parte da noi incaricata di trattare Dati personali del cliente.
• Violazione dei dati personali: una violazione della sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai Dati personali del cliente.
• Normativa sulla protezione dei dati: le leggi applicabili al trattamento, tra cui il GDPR dell'UE, il GDPR del Regno Unito e il Data Protection Act 2018, la Legge saudita sulla protezione dei dati personali e i relativi regolamenti, la LGPD brasiliana e la Legge egiziana n. 151 del 2020 con il relativo Regolamento esecutivo.
• "Titolare del trattamento", "responsabile del trattamento", "interessato" e "trattamento" hanno il significato attribuito loro dalla Normativa sulla protezione dei dati. "Responsabile del trattamento" comprende un "operador" ai sensi della LGPD.

1. Tu sei il titolare del trattamento dei Dati personali del cliente (o un responsabile del trattamento che agisce per conto di un altro titolare) e noi siamo il responsabile del trattamento.
2. Trattiamo i Dati personali del cliente esclusivamente sulla base delle tue istruzioni documentate, anche per quanto riguarda i trasferimenti verso altri paesi. Le tue istruzioni sono costituite dai Termini e condizioni, dal presente DPA, dalle impostazioni che scegli nel pannello (come canali, integrazioni, funzionalità di IA e periodi di conservazione) e da qualsiasi altra istruzione scritta da noi concordata.
3. Se una legge ci impone di trattare i Dati personali del cliente in modo diverso dalle tue istruzioni, ti informeremo prima di farlo, salvo che tale legge lo vieti.
4. Ti informeremo immediatamente qualora ritenessimo che un'istruzione violi la Normativa sulla protezione dei dati.
5. Sei responsabile della raccolta lecita dei dati e di disporre di una base giuridica per inviare messaggi ai tuoi contatti, compreso qualsiasi consenso richiesto da Meta o dalla legge.
6. Non utilizziamo i Dati personali del cliente per finalità nostre, non li vendiamo e non li utilizziamo per addestrare modelli di IA.

Possono accedere ai Dati personali del cliente solo i dipendenti e i collaboratori che ne hanno bisogno per fornire, supportare o proteggere il servizio, e tutti sono tenuti a mantenerli riservati.

Le persone che hanno accesso ai Dati personali del cliente lavorano principalmente in Egitto, tramite la nostra società affiliata Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م), secondo le nostre istruzioni e a condizioni non meno tutelanti del presente DPA.

Applichiamo le misure tecniche e organizzative di cui all'Allegato II, le riesaminiamo regolarmente e non ridurremo il livello complessivo di protezione nel corso del tuo abbonamento.

Inoltre, ci impegniamo a garantire:

• backup crittografati dei database dei workspace: ogni notte per i workspace a pagamento, in prova e gratuiti in omaggio, e a rotazione ogni 10 giorni per gli altri workspace, oltre a un backup giornaliero del database centrale degli account. I backup sono conservati in uno spazio di archiviazione privato, separato dal server di produzione, su Google Cloud negli Stati Uniti (us-east1), per 30 giorni e poi eliminati;
• la conservazione dei file multimediali scambiati nelle conversazioni in uno spazio di archiviazione che non può essere sfogliato né elencato, con distribuzione tramite link lunghi e casuali difficili da indovinare (fatta eccezione per le immagini del profilo dei contatti). Chiunque disponga del link esatto può aprire il file. Stiamo passando a link firmati con validità limitata nel tempo per i contenuti multimediali;
• la registrazione di ogni accesso del supporto a un workspace, e di ogni login, nel registro di sicurezza di quel workspace.

1. Autorizzazione generale. Ci autorizzi a incaricare i sub-responsabili del trattamento elencati nella nostra pagina dei sub-responsabili (Allegato III).
2. Preavviso. Daremo un preavviso di almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile, tramite e-mail a tutti coloro che si sono iscritti e aggiornando la pagina. Per iscriverti, scrivi a support@letsbot.net con oggetto "Subprocessor updates".
3. Opposizione. Puoi opporti per iscritto durante il periodo di preavviso per ragionevoli motivi legati alla protezione dei dati. Cercheremo di risolvere la tua opposizione, ad esempio non utilizzando quel sub-responsabile per i tuoi dati. Se non ci riusciamo, puoi recedere dalla parte del servizio interessata e ricevere il rimborso degli eventuali corrispettivi prepagati per il periodo residuo.
4. Sostituzione d'urgenza. Se dobbiamo sostituire immediatamente un sub-responsabile per proteggere la sicurezza o la continuità del servizio, te ne informeremo il prima possibile e manterrai lo stesso diritto di opposizione.
5. Obblighi equivalenti. Vincoliamo ogni sub-responsabile terzo con un contratto scritto che prevede obblighi di protezione dei dati non meno tutelanti del presente DPA, e restiamo responsabili nei tuoi confronti del suo operato.
6. Le integrazioni che scegli, come Meta (WhatsApp, Messenger, Instagram), le piattaforme di e-commerce e i CRM, non sono nostri sub-responsabili. Sei tu a collegarle, ed esse trattano i dati in base ai propri termini con te.

1. Ti notificheremo qualsiasi Violazione dei dati personali che riguardi i Dati personali del cliente senza ingiustificato ritardo e in ogni caso entro 24 ore dal momento in cui ne veniamo a conoscenza. Questo è il nostro standard in ogni paese.
2. Inviamo la notifica all'indirizzo e-mail del titolare dell'account e, ove possibile, nel pannello. Nella misura in cui le informazioni sono disponibili, la notifica descrive: la natura e la causa della violazione; le categorie e il numero approssimativo di interessati e di record; le probabili conseguenze; le misure adottate o proposte per contenerla; e il nostro punto di contatto.
3. Se non disponiamo subito di tutte le informazioni, le forniremo in più fasi senza ingiustificato ritardo e ti aggiorneremo regolarmente fino alla chiusura dell'incidente.
4. Ti aiuteremo ad adempiere ai tuoi obblighi di notifica alle autorità e agli interessati, compresi i termini di 72 ore nell'UE, nel Regno Unito e in Arabia Saudita, e il termine di tre giorni lavorativi in Brasile.
5. Una notifica non costituisce ammissione di colpa o di responsabilità.

1. Se riceviamo da un interessato una richiesta relativa ai Dati personali del cliente, te la inoltreremo entro 48 ore e non vi risponderemo senza la tua autorizzazione, se non per comunicare che l'abbiamo inoltrata.
2. Il pannello ti consente di esportare, correggere ed eliminare contatti, conversazioni e messaggi. Laddove questi strumenti non siano sufficienti, ti forniremo un'assistenza ragionevole.
3. La nostra assistenza tiene conto dei tuoi termini di legge, compresi i sei giorni lavorativi previsti in Egitto.

Ti forniremo le informazioni di cui hai ragionevolmente bisogno per effettuare una valutazione d'impatto sulla protezione dei dati, una valutazione del rischio dei trasferimenti o una consultazione preventiva con un'autorità. Laddove la legge ti imponga di condividere con noi la relativa valutazione d'impatto, la riceveremo.

1. Durante il tuo abbonamento puoi, in qualsiasi momento, esportare i tuoi dati, eliminare una singola conversazione (cancellandone messaggi e contenuti multimediali) o eliminare l'intero workspace dal pannello. Indicare un motivo è facoltativo.
2. Alla cessazione del servizio, i tuoi dati restano disponibili per l'esportazione per 30 giorni. Quando un workspace viene eliminato, cancelliamo i Dati personali del cliente dai nostri sistemi attivi entro 30 giorni, compresi i contenuti multimediali, la copia archiviata, i file e le risposte memorizzati presso il nostro fornitore di IA e i messaggi conservati dal nostro servizio di connessione tramite codice QR. Le copie nei backup scadono entro ulteriori 30 giorni.
3. Conserviamo solo ciò che la legge ci impone di conservare e continuiamo a proteggerlo ai sensi del presente DPA fino alla sua cancellazione.
4. Su richiesta, confermeremo la cancellazione per iscritto.

1. Metteremo a disposizione le informazioni necessarie a dimostrare la nostra conformità al presente DPA e risponderemo a ragionevoli questionari sulla sicurezza.
2. Se tali informazioni non sono sufficienti, tu o un revisore indipendente vincolato alla riservatezza potete sottoporci ad audit una volta ogni 12 mesi, con un preavviso di 30 giorni, durante l'orario lavorativo e senza mettere a rischio i dati di altri clienti. Questo limite non si applica dopo una Violazione dei dati personali o quando l'audit è richiesto da un'autorità.
3. Ciascuna parte sostiene i propri costi, salvo che l'audit riveli una violazione sostanziale da parte nostra.
4. Collaboreremo con le autorità di controllo competenti, compresa l'Autorità saudita per i dati e l'intelligenza artificiale (SDAIA), quando ne faranno richiesta.

1. Dove vengono trattati i dati. I Dati personali del cliente sono ospitati su Google Cloud negli Stati Uniti (regione us-east1), vi accede da remoto il nostro personale, che lavora principalmente in Egitto tramite la nostra società affiliata, e sono trattati dai sub-responsabili nelle località indicate nella relativa pagina. Tutti i nostri server e backup si trovano negli Stati Uniti; non offriamo hosting in nessun'altra regione.
2. Meccanismi di trasferimento. Le clausole dell'Allegato IV (UE e Regno Unito), dell'Allegato V (Brasile) e dell'Allegato VI (Arabia Saudita) fanno parte del presente DPA per ogni cliente e disciplinano ciascun trasferimento a cui si applica la legge corrispondente.
3. Leggi straniere a cui siamo soggetti. Siamo una società del Regno Unito soggetta al diritto del Regno Unito. I dati sono ospitati presso un fornitore statunitense e le autorità statunitensi possono imporre ai fornitori statunitensi di divulgare dati ai sensi della legge statunitense, compresi il CLOUD Act e la Section 702 del Foreign Intelligence Surveillance Act. La nostra società affiliata in Egitto è soggetta al diritto egiziano. Non siamo a conoscenza del fatto che alcuna di queste leggi ci impedisca di rispettare il presente DPA e ti informeremo tempestivamente qualora ciò cambiasse.
4. Richieste delle autorità pubbliche. Se riceviamo da un'autorità pubblica una richiesta vincolante di divulgazione dei Dati personali del cliente, te ne informeremo salvo che la legge lo vieti, chiederemo all'autorità di rivolgersi a te, contesteremo le richieste illegittime o eccessive e divulgheremo solo il minimo indispensabile.

1. Quando attivi le risposte con IA, gli agenti IA, la trascrizione dei messaggi vocali o gli strumenti di IA, inviamo i dati necessari alla funzionalità a uno dei nostri fornitori di servizi di IA, che sono sub-responsabili negli Stati Uniti: messaggi, cronologia delle conversazioni, messaggi vocali, file della knowledge base e catalogo prodotti, oltre al nome e al numero del contatto quando la funzionalità li utilizza.
2. I nostri fornitori di servizi di IA sono OpenAI, il fornitore predefinito, che gestisce sempre la trascrizione dei messaggi vocali e l'archiviazione e la ricerca dei file della knowledge base; e Anthropic (Claude) e Google (Gemini API), a cui possiamo instradare attività di IA al posto di OpenAI o come riserva, oppure inviare un campione limitato di richieste per confrontare la qualità delle risposte. Le risposte di confronto non vengono mai inviate ai tuoi clienti. L'elenco e i meccanismi di trasferimento sono riportati nella nostra pagina dei sub-responsabili.
3. In base ai rispettivi termini commerciali, nessuno di questi fornitori utilizza i dati inviati tramite la propria API per addestrare i propri modelli (vedi i termini commerciali di OpenAI, i Commercial Terms di Anthropic e i Gemini API Additional Terms), e non abbiamo aderito ad alcun utilizzo per l'addestramento. Ciascun fornitore conserva una copia temporanea per il monitoraggio degli abusi in base ai propri termini, e OpenAI conserva le risposte che genera in base alla propria policy sui dati delle API.
4. Non utilizziamo i Dati personali del cliente per addestrare alcun modello. Ciò che la funzionalità "impara dalla cronologia" apprende resta all'interno del tuo workspace.
5. Queste funzionalità sono facoltative e puoi disattivarle in qualsiasi momento. Quando elimini il tuo workspace, cancelliamo i file archiviati per esso presso OpenAI.
6. Sei responsabile di informare i tuoi clienti che le risposte possono essere generate dall'IA, laddove la legge lo richieda.

1. Il nostro personale di supporto accede al tuo workspace solo per fornire assistenza.
2. Ogni accesso viene registrato nel registro di sicurezza del tuo workspace, che puoi consultare.
3. Se attivi l'autenticazione a due fattori per il tuo workspace, il nostro personale può accedervi solo con la tua approvazione esplicita.

La responsabilità di ciascuna parte ai sensi del presente DPA è soggetta alle limitazioni previste dai Termini e condizioni, fatta eccezione per la responsabilità che non può essere limitata per legge, e fermi restando i diritti degli interessati ai sensi delle clausole di trasferimento degli Allegati da IV a VI, che nulla nel presente DPA o nei Termini e condizioni limita.

1. Il presente DPA si applica per tutto il tempo in cui trattiamo Dati personali del cliente.
2. Possiamo aggiornare il presente DPA per adeguarlo alla legge o al servizio. Daremo un preavviso di 30 giorni per qualsiasi modifica sostanziale, e nessuna modifica ridurrà il livello di protezione durante il periodo del tuo abbonamento a pagamento.
3. Il presente DPA è disciplinato dalle leggi di Inghilterra e Galles e i relativi tribunali sono competenti, fatta eccezione per ciascun set di clausole di trasferimento degli Allegati da IV a VI, che è disciplinato dalla legge e dai tribunali da esso indicati.

Ai fini della Legge sulla protezione dei dati personali e del relativo Regolamento di attuazione (Articolo 17):

• La finalità, le categorie di dati e la durata del trattamento sono indicate nell'Allegato I.
• Ti notifichiamo una violazione senza ingiustificato ritardo ed entro 24 ore (sezione 7).
• Le leggi straniere a cui siamo soggetti, e il loro impatto, sono descritte nella sezione 12.
• Se la legge saudita ci impone di effettuare una divulgazione, te ne daremo notifica.
• I sub-responsabili e gli altri destinatari sono identificati nell'Allegato III e ti informiamo prima di qualsiasi modifica, con diritto di opposizione (sezione 6).
• Inoltriamo le richieste degli interessati entro 48 ore (sezione 8) e accettiamo valutazioni e audit (sezione 11).
• Clausole di trasferimento: Allegato VI.

Ai fini della LGPD agiamo in qualità di "operador":

• Trattiamo i dati secondo le tue istruzioni (Articolo 39) e teniamo un registro delle operazioni di trattamento (Articolo 37).
• Applichiamo le misure di sicurezza di cui all'Allegato II, e il nostro obbligo di sicurezza prosegue dopo la fine del trattamento (Articoli 46 e 47).
• Ti notifichiamo una violazione entro 24 ore, così che tu possa informarne l'ANPD e gli interessati entro tre giorni lavorativi (Articolo 48).
• Cancelliamo i dati alla fine del trattamento, ai sensi della sezione 10 (Articolo 16).
• Nulla nel presente DPA limita la nostra responsabilità nei confronti degli interessati laddove la LGPD la imponga.
• Clausole di trasferimento: Allegato V. Su richiesta forniamo una sintesi in portoghese del trasferimento internazionale che puoi pubblicare per i tuoi clienti.

Ai fini della Legge n. 151 del 2020 e del relativo Regolamento di attuazione:

• La nostra società affiliata in Egitto è Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م), iscritta al registro delle imprese con il n. 223572 (ufficio del registro degli investimenti del Cairo), Tower 22, 3º piano, Masaken Sidi Abdel Rahim, Seger, Tanta 1st, Gharbia, Egitto.
• Prima di avvalercene, otteniamo ogni licenza o autorizzazione richiesta dalla legge per i nostri trattamenti e trasferimenti transfrontalieri, e nominiamo un responsabile della protezione dei dati registrato presso il Personal Data Protection Center.
• Oltre a informarti entro 24 ore, notifichiamo una violazione al Personal Data Protection Center entro 72 ore, laddove la legge ce lo imponga in qualità di responsabile del trattamento, in coordinamento con te.
• Collaboriamo con te per rispondere alle richieste degli interessati entro sei giorni lavorativi.
• Sei responsabile di ottenere il consenso degli interessati quando la legge lo richiede, compreso il consenso ai trasferimenti al di fuori dell'Egitto.

Il presente DPA contiene le clausole richieste dall'articolo 28(3) del GDPR dell'UE e del GDPR del Regno Unito: istruzioni (sezione 3), riservatezza (sezione 4), sicurezza (sezione 5 e Allegato II), sub-responsabili del trattamento (sezione 6), assistenza nelle richieste degli interessati (sezione 8) e in materia di sicurezza, violazioni e valutazioni (sezioni 5, 7 e 9), cancellazione e restituzione (sezione 10), nonché informazioni e audit (sezione 11).

Il Regno Unito, dove abbiamo sede, beneficia di una decisione di adeguatezza della Commissione europea. L'Allegato IV (le Clausole contrattuali tipo dell'UE e l'Addendum del Regno Unito) è comunque incorporato per ogni cliente e disciplina qualsiasi trasferimento di Dati personali del cliente non altrimenti consentito dal GDPR dell'UE o dal GDPR del Regno Unito, compresi i nostri trasferimenti successivi verso gli Stati Uniti.

Queste misure sono già in vigore:

• Crittografia in transito: TLS 1.3 sull'edge di Cloudflare con HSTS e certificati TLS sul server di origine.
• Crittografia a riposo: crittografia predefinita di Google Cloud con chiavi gestite da Google per dischi e bucket di archiviazione, oltre alla crittografia a livello applicativo dei token di accesso ai canali, dei segreti di integrazioni e webhook, dei segreti per l'autenticazione a due fattori, delle risposte ai sondaggi e dei registri di consenso.
• Password e token: password sottoposte a hash con bcrypt; token API archiviati come hash.
• Isolamento: un database separato per ogni workspace.
• Rete: database e cache non raggiungibili da internet; protezione DDoS e web application firewall di Cloudflare; protezione anti-bot Turnstile sui moduli pubblici.
• Hardening dei server: isolamento degli account con CageFS, firewall e scansione malware Imunify360 e applicazione in tempo reale delle patch di sicurezza del kernel (KernelCare).
• Controllo degli accessi: ruoli e autorizzazioni per singolo utente, una protezione di accesso separata per gli strumenti di amministrazione interni, autenticazione a due fattori disponibile per ogni workspace e restrizioni degli IP di accesso.
• Registrazione: un registro di sicurezza per ogni workspace che copre accessi e tentativi falliti, modifiche all'autenticazione a due fattori e ai ruoli, accessi del supporto e rotazione delle chiavi API.
• Integrazioni: verifica della firma sui dati in entrata da Meta, Salla e Zid, e un segreto di firma separato per ogni nuovo webhook in uscita.
• Archiviazione privata: documenti, allegati e-mail, registrazioni delle chiamate, backup e workspace archiviati sono conservati in bucket di archiviazione privati con accesso pubblico impedito.
• Contenuti multimediali delle conversazioni: conservati in un archivio che non può essere sfogliato né elencato e forniti tramite link lunghi e casuali, difficili da indovinare (tranne le immagini del profilo dei contatti); è in corso il passaggio a link firmati a tempo limitato.
• Backup: backup notturni dei database dei workspace paganti, in prova e gratuiti, una rotazione di 10 giorni per gli altri workspace e un backup giornaliero del database centrale degli account; conservati per 30 giorni in un archivio privato negli Stati Uniti (us-east1).
• Cancellazione: ogni cliente può eliminare l'intero workspace dal pannello, compresi i contenuti multimediali, la copia archiviata e i file di IA presso OpenAI; l'eliminazione di una conversazione cancella i relativi messaggi e contenuti multimediali.
• Minimizzazione dei dati: i payload in entrata delle piattaforme vengono eliminati dopo 14 giorni, i log dei server dopo 14 giorni e le registrazioni delle chiamate dopo 90 giorni, per impostazione predefinita.
• Monitoraggio: monitoraggio esterno dell'uptime e monitoraggio interno di memoria, database, sessioni e code con avvisi in tempo reale, nei quali numeri di telefono e indirizzi e-mail sono mascherati.

L'elenco aggiornato dei sub-responsabili del trattamento, con i dati che trattano, la loro ubicazione e le garanzie per i trasferimenti, è pubblicato nella nostra pagina dei sub-responsabili e costituisce parte integrante del presente DPA.

Le Clausole contrattuali tipo adottate con la Decisione di esecuzione (UE) 2021/914 della Commissione sono incorporate mediante rinvio:

• Modulo Due (da titolare a responsabile) quando sei titolare del trattamento, e Modulo Tre (da responsabile a responsabile) quando agisci come responsabile del trattamento per conto di terzi.
• Clausola 7 (clausola di adesione successiva): inclusa.
• Clausola 9(a): Opzione 2 (autorizzazione scritta generale), con un preavviso di 30 giorni.
• Clausola 11(a): la formulazione facoltativa non si applica.
• Clausola 13: l'autorità di controllo competente è determinata ai sensi della Clausola 13(a) in base alla tua situazione.
• Clausola 17: Opzione 1, disciplinata dalla legge irlandese. Clausola 18: i tribunali dell'Irlanda.
• Allegato I.A: le parti indicate nella sezione 1 (tu come esportatore dei dati, noi come importatore dei dati). Allegato I.B: l'Allegato I del presente DPA. Allegato I.C: come determinato ai sensi della Clausola 13. Allegato II: l'Allegato II del presente DPA. Allegato III: l'Allegato III del presente DPA.

Per i trasferimenti disciplinati dal diritto del Regno Unito, l'International Data Transfer Addendum alle Clausole contrattuali tipo dell'UE dell'ICO è incorporato mediante rinvio: Tabella 1, le parti sopra indicate; Tabella 2, le clausole selezionate sopra; Tabella 3, gli Allegati da I a III; Tabella 4, ciascuna parte può recedere dall'Addendum secondo quanto previsto dalla sua Sezione 19.

Per i trasferimenti internazionali di dati disciplinati dalla LGPD, accettando i Termini e condizioni le parti adottano le clausole contrattuali tipo dell'Allegato II della Risoluzione CD/ANPD n. 19/2024 integralmente e senza alcuna modifica. Fa fede il testo ufficiale in portoghese.

• Sezione I: tu sei l'esportatore (titolare del trattamento) e noi siamo l'importatore (operatore); il trasferimento è descritto nell'Allegato I.
• Sezione III (misure di sicurezza): Allegato II.
• Sezione IV: nessuna clausola aggiuntiva.

Nessun'altra disposizione del presente DPA o dei Termini e condizioni può escludere, modificare o contraddire tali clausole.

Per i trasferimenti di dati personali al di fuori del Regno, accettando i Termini e condizioni le parti adottano le Clausole contrattuali tipo per il trasferimento dei dati personali emanate dalla Saudi Data and AI Authority (SDAIA), Modello 2 (da titolare a responsabile), senza modifiche.

• Parti: tu sei l'esportatore e noi siamo l'importatore.
• Appendici da 1 a 3 del modello: sezione 1, Allegato I e Allegato II del presente DPA.
• Tali clausole sono disciplinate dalle leggi del Regno dell'Arabia Saudita e la competenza spetta ai suoi tribunali, come previsto dalle clausole stesse.
• Ti notifichiamo una violazione entro 24 ore, inoltriamo le richieste degli interessati entro 48 ore e collaboriamo con la SDAIA in qualsiasi audit.
• Ti comunichiamo quali sub-responsabili al di fuori del Regno hanno aderito a tali clausole e quali no, prima di avvalerci di loro per i tuoi dati.