Mailchimp e i trasferimenti di dati europei

Se ti trovi nello Spazio economico europeo (SEE), nel Regno Unito o in Svizzera (a cui si farà riferimento collettivamente come “Europa”) o utilizzi la nostra piattaforma per trattare i dati dei tuoi contatti in Europa, il nostro DPA (Addendum sul trattamento dei dati) è stato redatto in modo tale da consentirti di trasferire i dati personali europei a Mailchimp negli Stati Uniti e da permettere a Mailchimp di trattare legalmente tali dati per conto tuo.

Dal momento che ora facciamo parte di Intuit, abbiamo aggiornato la nostra Informativa globale sulla privacy, i Termini di utilizzo standard, i Termini aggiuntivi e l’Addendum sul trattamento dei dati in vigore dal 10 gennaio 2022.

Il DPA è incorporato direttamente nei nostri Termini di utilizzo standard e non richiede una firma. Utilizzando Mailchimp o registrandoti a un account, accetti i presenti termini. Ai sensi dei Termini di utilizzo standard e dell’Addendum sul trattamento dei dati di Mailchimp, ciascun utente si impegna a un utilizzo conforme a tutte le leggi applicabili.

Conformità per l’esportazione dei dati europei di Mailchimp

Mailchimp ha certificato la propria conformità sia allo EU-US Privacy Shield Framework che allo Swiss-US Privacy Shield Framework dal 2016.

Il 16 luglio 2020, il più alto tribunale europeo, ossia la CGUE (Corte di giustizia dell’Unione europea), ha invalidato lo EU-US Privacy Shield. Inoltre, l’8 settembre 2020, l’Autorità svizzera per la protezione dei dati ha annunciato in una dichiarazione di posizione di non ritenere più adeguato lo Swiss-US Privacy Shield ai fini del trasferimento di dati personali dalla Svizzera agli Stati Uniti.

Tuttavia, Mailchimp continuerà a proteggere i dati europei in conformità ai Principi del Privacy Shield ai quali ha certificato la conformità. Consulta la nostra Informativa globale sulla privacy per maggiori informazioni.

Inoltre, Mailchimp si impegna contrattualmente a trasferire e trattare tutti i dati europei dei suoi utenti in conformità con le SCC (Clausole contrattuali standard), che continuano a dare ai nostri utenti la possibilità di trasferire legalmente i dati soggetti alla legge europea sulla protezione dei dati (incluso il GDPR) al di fuori dell’Europa a Mailchimp negli Stati Uniti. Le SCC si applicano automaticamente in conformità all’Addendum sul trattamento dei dati di Mailchimp.

Di recente abbiamo aggiornato il nostro Addendum sul trattamento dei dati per garantire che incorpori le nuove SCC adottate dalla Commissione europea il 4 giugno 2021. Le nuove SCC si applicheranno automaticamente a tutti gli utenti che hanno iniziato a utilizzare il nostro servizio a partire dal 27 settembre 2021 e a tutti gli altri utenti a partire dal 27 dicembre 2022. Ciò è in linea con la Decisione di implementazione della Commissione europea del 4 giugno 2021, che ha accompagnato le nuove SCC.

Maggiori informazioni sui trasferimenti di dati

Sappiamo che alcuni dei nostri utenti potrebbero avere domande sulla conformità del trasferimento dei dati, incluso l’impatto della decisione della Corte di giustizia dell’Unione europea del 2020 in merito ai trasferimenti di dati e l’adozione delle nuove SCC (Clausole contrattuali standard) da parte della Commissione europea il 4 giugno 2021. In questa sezione, ti vengono presentate alcune domande e risposte comuni.

Che cosa ha deciso la Corte di Giustizia dell’Unione Europea in merito ai trasferimenti di dati dall’UE?

Il 16 luglio 2020, la Corte di Giustizia dell’Unione Europea ha invalidato lo EU-US Privacy Shield Framework (Privacy Shield), uno dei modi a disposizione delle aziende per trasferire legalmente i dati dall’Europa agli Stati Uniti. Al tempo stesso, la Corte di Giustizia dell’Unione Europea ha confermato che le SCC continuano a rappresentare un meccanismo valido per il trasferimento dei dati personali al di fuori dell’Europa da parte delle aziende.

Tuttavia, la Corte di Giustizia dell’Unione Europea ha osservato che, oltre ad aderire alle SCC, l’esportatore e l’importatore dei dati potrebbero dover accettare misure supplementari allo scopo di garantire un livello adeguato di protezione dei dati trasferiti. A seguito della decisione della Corte di Giustizia dell’Unione Europea, il Comitato europeo per la protezione dei dati ha pubblicato le sue Raccomandazioni sulle misure supplementari allo scopo di assistere i titolari del trattamento e i responsabili del trattamento che agiscono in qualità di esportatori di dati nell’ambito delle loro mansioni. Ciò include l’identificazione e l’implementazione di misure supplementari appropriate laddove siano necessarie e la garanzia di un livello di protezione essenzialmente equivalente per i dati che questi trasferiscono al di fuori dell’Europa.

In che modo la decisione della CGUE influisce sul mio uso di Mailchimp?

I nostri utenti possono continuare a trasferire i dati europei a Mailchimp negli Stati Uniti. Sapevamo che la sentenza della CGUE era una possibilità. Pertanto, abbiamo fornito per molto tempo ai nostri utenti due livelli di protezione per i trasferimenti di dati dall’Europa agli Stati Uniti nel nostro Addendum sul trattamento dei dati, ossia la conformità con lo EU-US Privacy Shield Framework e le SCC.

Sebbene la sentenza della CGUE abbia invalidato lo EU-US Privacy Shield Framework, non ha invalidato le SCC, che continuano a essere un meccanismo valido per l’esportazione dei dati. I nostri accordi sono strutturati in modo che le SCC siano automaticamente in vigore, pertanto i nostri utenti sono protetti dalle SCC sin dalla sentenza. Inoltre, continueremo anche a rispettare i nostri obblighi di protezione dei dati europei in conformità ai Principi del Privacy Shield.

Mailchimp trasferisce i dati al di fuori dell’Europa? Se sì, in quali Paesi?

Sì. La sede centrale di Mailchimp si trova negli Stati Uniti e anche i nostri server hanno sede negli Stati Uniti. Ciò significa che i dati che trattiamo possono essere trasferiti, archiviati o trattati negli Stati Uniti. Inoltre, ci avvaliamo di fornitori terzi che trattano i dati personali per nostro conto allo scopo di fornire servizi a Mailchimp. Anche i server di tali fornitori possono avere sede al di fuori dell’Europa.

Puoi visualizzare la lista completa dei sub-responsabili del trattamento che utilizziamo per trattare i dati dei nostri membri, comprese le informazioni sulle loro sedi. Adottiamo misure per garantire che i nostri fornitori offrano misure di salvaguardia adeguate a proteggere i dati personali che trattano per conto nostro e questi sono contrattualmente obbligati a trattare tali dati in conformità alle leggi applicabili in materia di protezione dei dati.

Quali misure ha implementato Mailchimp allo scopo di proteggere i dati dei clienti europei trattati al di fuori dell’Europa?

Mailchimp ha adottato una serie di misure allo scopo di garantire che i dati europei continuino a essere protetti quando vengono trasferiti al di fuori dell’Europa.

Impegni contrattuali
Oltre a incorporare le SCC, il nostro Addendum sul trattamento dei dati specifica anche i nostri impegni nei confronti di sicurezza, riservatezza del trattamento, limitazioni ai trasferimenti internazionali di dati personali, cooperazione con i diritti degli interessati, notifica di incidenti di sicurezza e altro ancora.

È importante sottolineare che Mailchimp non vende, affitta o commercia i dati degli utenti.

Misure di sicurezza
Mailchimp riserva la massima attenzione alla privacy e alla sicurezza dei dati dei nostri utenti. Il nostro programma di sicurezza e privacy è descritto in dettaglio nella nostra pagina sulla sicurezza.

Di seguito viene presentato un riepilogo di alcune delle misure tecniche e organizzative importanti e specifiche che abbiamo implementato (e continueremo a implementare) per proteggerci dall’accesso non autorizzato ai dati degli utenti:

(1) Crittografia
Mailchimp ha implementato, dove e nella misura in cui ciò è tecnicamente fattibile, tecnologie di crittografia in tutta la sua infrastruttura che contribuiscano a proteggere i dati degli utenti da accessi non autorizzati quando questi vengono trattati internamente da Mailchimp. Ad esempio, tutte le pagine di produzione Mailchimp utilizzano la trasmissione crittografata TLS, un protocollo di crittografia sicuro, e la rete wireless interna di Mailchimp utilizza la crittografia WPA2 a 128 bit. Inoltre, la crittografia si applica anche all’email di Mailchimp (a 256 bit), a tutte le connessioni VPN (a 256 bit) e all’applicazione della chat interna (a 256 bit). Le pagine di accesso utilizzano TLS e dispongono di una protezione dagli attacchi di forza bruta. Ciò vale anche per le applicazioni Mailchimp mobili e l’API di Mailchimp.

(2) Controlli di accesso
Mailchimp limita l’accesso di terzi alle proprie infrastrutture e ai propri strumenti interni. Il nostro team legale valuta tutte le richieste di accesso, si assicura che la richiesta sia appropriata per la mansione in questione e garantisce che la terza parte segua tutte le disposizioni di sicurezza e privacy delineate nel contratto. Una volta che l’accesso viene approvato, Mailchimp concede tale accesso esclusivamente a parti del sistema chiaramente definite tramite account controllati.

Mailchimp si impegna a preservare i più alti livelli di privacy e sicurezza per i suoi utenti. In caso di domande sul nostro programma di sicurezza e privacy, invia le tue domande qui.

Accordi con i fornitori
Adottiamo tutte le misure necessarie per garantire che i nostri accordi con i fornitori internazionali terzi (compresi i sub-responsabili del trattamento) contengano impegni appropriati da parte di tali terze parti in merito al trasferimento e al trattamento dei dati europei al di fuori dell’Europa e che noi implementiamo un meccanismo di trasferimento dei dati appropriato e legittimo (come le Clausole contrattuali standard) e ulteriori misure di salvaguardia, se necessario. Sono disponibili dettagli aggiornati sui sub-responsabili del trattamento che utilizziamo per trattare i dati dei nostri membri.

Privacy Shield
Non facciamo più affidamento sul Privacy Shield come meccanismo di trasferimento dei dati in considerazione del fatto che lo EU-US Privacy Shield e lo Swiss-US Privacy Shield non sono più validi a seguito della recente sentenza della Corte di Giustizia dell’Unione Europea in Schrems II. Tuttavia, nella misura in cui Mailchimp abbia obblighi continui ai sensi della nostra Certificazione Privacy Shield esistente, continueremo a onorarli, incluso il rispetto dei diritti diretti di rivalsa dei singoli nei confronti di Mailchimp, compreso il diritto di invocare un arbitrato vincolante.

In che modo Mailchimp risponde alle richieste di informazioni?

Consideriamo attentamente tutte le richieste di informazioni e, come politica, non forniamo a terzi informazioni relative a un account che non appartiene loro, a meno che non siamo legalmente obbligati a farlo. Ciò significa che risponderemo solo a un’ordinanza del tribunale valida, a un mandato di comparizione, a un mandato di perquisizione o ad altri procedimenti legali appropriati che richiedono informazioni e registri relativi a un account Mailchimp. Mailchimp utilizza determinate linee guida quando risponde alle richieste di informazioni, sia da parte di un ente governativo che non governativo:

• Ci impegniamo a preservare la privacy e la riservatezza degli utenti.
• Ove possibile, chiediamo al richiedente di rivolgersi direttamente ai titolari dell’account in questione piuttosto che a Mailchimp.
• Chiediamo al richiedente di fornirci quante più informazioni possibili in modo da identificare qual è l’account dell’utente corretto. Non risponderemo a una richiesta a meno di non aver ricevuto innanzitutto informazioni adeguate e specifiche, come indirizzo email, intestazioni dell’email, dominio Internet, nome utente, indirizzo IP o altre informazioni simili, che ci consentano di identificare e individuare l’account corretto.
• In assenza di un’eccezione legale ai sensi della legge statunitense, rispondiamo solo alle richieste che sono state presentate attraverso un procedimento legale statunitense valido. Ciò significa che il procedimento legale (come citazioni in giudizio, richieste di accertamento, mandati di perquisizione o ordinanze del tribunale) deve essere correttamente sancito da un tribunale statunitense della giurisdizione competente ed emesso in conformità con le norme procedurali federali e/o statali applicabili prima che Mailchimp risponda.
• Mailchimp non accetta richieste direttamente da enti governativi al di fuori degli Stati Uniti. Rispondiamo solo alle richieste di governi stranieri effettuate attraverso un Trattato di assistenza legale reciproca o altri mezzi diplomatici o legali utilizzati per ottenere informazioni da Mailchimp.

In conformità con il nostro Addendum sul trattamento dei dati, Mailchimp fornirà agli utenti europei una notifica scritta delle richieste obbligatorie di accesso ai loro dati, a meno che ciò non sia vietato dalla legge.

Mailchimp pubblica report sulla trasparenza relativi alle richieste di informazioni?

Al fine di dimostrare il nostro impegno nei confronti della privacy e i nostri sforzi per essere quanto più trasparenti possibile, Mailchimp ora pubblica report annuali sulla trasparenza che documentano il numero e il tipo di richieste legali ricevute. Anche se ci sono restrizioni sul livello di dettagli che possiamo fornire, faremo del nostro meglio per essere quanto più trasparenti possibile dal punto di vista legale in tutti questi report.

Mailchimp riceve richieste di informazioni dal governo degli Stati Uniti?

Al centro della recente sentenza della Corte di Giustizia dell’Unione Europea (e uno dei motivi principali per cui il Privacy Shield è stato invalidato) c’era la preoccupazione espressa in merito ai programmi di intelligence e sorveglianza nazionali degli Stati Uniti ai sensi della Section 702, indicata anche come FISA Amendments Act, e ai sensi dell’Executive Order 12333. Come prassi generale, Mailchimp non fornisce volontariamente alle agenzie o alle autorità governative (comprese le forze dell’ordine) accesso a o informazioni sugli account Mailchimp.

Tuttavia, in quanto piattaforma di email marketing B2B e quindi “servizio di comunicazione elettronica”, Mailchimp è, come quasi tutti i fornitori di servizi cloud statunitensi, il tipo di ente verso cui il governo degli Stati Uniti è tecnicamente autorizzato a emettere direttive FISA ai sensi della Section 702 o a intraprendere azioni di raccolta di intelligence ai sensi dell’EO 12333. Ciò significa che Mailchimp può essere tecnicamente notificata con questo tipo di richieste obbligatorie di informazioni.

I nostri report annuali sulla trasparenza documentano il numero limitato e i tipi specifici di richieste legali ricevute da Mailchimp. Inoltre, come spiegato sopra, abbiamo in atto anche politiche e processi rigorosi per rispondere alle richieste di informazioni delle forze dell’ordine.

Posso eseguire le Clausole contrattuali standard dell’UE con Mailchimp?

Le SCC (Clausole contrattuali standard) dell’UE sono incorporate direttamente nel nostro DPA (Addendum sul trattamento dei dati), che rientra automaticamente nei nostri Termini di utilizzo standard (il nostro contratto con te) e si applica ai dati dei clienti coperti dalle leggi dell’UE in materia di protezione dei dati (compreso il GDPR).