Accordo sul trattamento dei dati (DPA)

1. Definizioni

• "Titolare del trattamento" indica la persona fisica o giuridica (il Cliente / Proprietario del sito web) che determina le finalità e i mezzi del trattamento dei Dati personali.
• "Responsabile del trattamento" indica MousePlayer, che tratta Dati personali per conto del Titolare.
• "Dati personali" indica qualsiasi informazione riguardante una persona fisica identificata o identificabile (Utente finale) trattata dal Responsabile per conto del Titolare.
• "Utente finale" indica un visitatore del sito web del Titolare le cui interazioni sono registrate da MousePlayer.
• "Sub-responsabile" indica qualsiasi ulteriore terza parte di cui si avvale il Responsabile per trattare Dati personali per conto del Titolare.

2. Ruoli e ambito del trattamento

MousePlayer fornisce infrastrutture per registrazione delle sessioni in tempo reale, mappe di calore e analisi. Nel fornire questi servizi, MousePlayer tratta i dati esclusivamente per conto del Titolare e su sue istruzioni documentate.

3. Obblighi del Titolare

• Ottenere un consenso lecito: il Titolare è responsabile di ottenere un consenso valido e informato dagli Utenti finali prima dell’inizializzazione dello script MousePlayer, in conformità alla direttiva ePrivacy e al GDPR. MousePlayer legge il segnale di consenso; non ottiene il consenso.
• Divieto delle categorie particolari: il Titolare non deve trasmettere a MousePlayer categorie particolari di dati personali (compresi dati sanitari, numeri di carte di credito, password o identificatori governativi).
• Trasparenza: il Titolare deve dichiarare l’utilizzo della registrazione delle sessioni nella propria informativa sulla privacy.
• Base giuridica: il Titolare garantisce che tutti i Dati personali trasferiti a MousePlayer siano stati raccolti lecitamente.
• Contrassegnare le aree sensibili: il Titolare è responsabile di identificare le regioni del proprio sito che mostrano dati personali e contrassegnarle con data-mp-mask o la classe mp-masked, nonché di escludere i percorsi che non devono essere affatto registrati. Si veda il paragrafo 4 sui limiti del mascheramento automatico.

4. Obblighi del Responsabile

• Istruzioni: MousePlayer tratta Dati personali solo su istruzioni documentate del Titolare, salvo che il diritto dell’Unione o degli Stati membri imponga diversamente; in tal caso MousePlayer informa il Titolare di tale obbligo giuridico prima del trattamento, salvo che la legge vieti tale informazione. Costituiscono istruzioni questo accordo, le impostazioni effettuate dal Titolare nel progetto e le istruzioni in forma testuale a office@mouseplayer.com. Se ritiene che un’istruzione violi la normativa sulla protezione dei dati, MousePlayer informa il Titolare senza ingiustificato ritardo (art. 28(3), secondo comma, GDPR).
• Riservatezza: le persone autorizzate a trattare i dati sono vincolate alla riservatezza o soggette a un adeguato obbligo legale di riservatezza.
• Nessun trattamento prima del consenso: lo script non assegna identificatori, non imposta cookie, non memorizza nulla e non apre connessioni finché non è presente un segnale di consenso. Un segnale mancante è trattato come rifiuto, salvo in una regione espressamente abilitata dal Titolare ai sensi del paragrafo 11.3 dei Termini di servizio; le regioni in cui il consenso è richiesto dalla legge, comprese UE e SEE, non possono essere abilitate. Un segnale Global Privacy Control prevale su ogni altro segnale.
• Mascheramento IP: l’indirizzo IP completo è utilizzato nella memoria di lavoro per stabilire la connessione, ricavare il paese e difendersi dagli abusi. Se la difesa dagli abusi blocca un indirizzo, questo è conservato in una cache per la durata del blocco, al massimo 24 ore. I log del server web, che registrano ogni richiesta incluse le connessioni dello script di tracciamento, contengono l’indirizzo completo e sono cancellati dopo 14 giorni. L’indirizzo di un Utente finale è scritto nel database solo in forma mascherata e non è mostrato nella dashboard.
• Oscuramento degli URL: i valori dei parametri nella query e nel frammento di un indirizzo che comunemente contengono dati personali o credenziali di accesso (ad esempio ?email=, ?token=, ?code=, #access_token=) sono oscurati nel browser prima che l’indirizzo venga trasmesso.
• Mascheramento degli input dei moduli – tre livelli: il mascheramento completo sostituisce ogni carattere di ogni input prima che lasci il browser ed è l’impostazione predefinita per ogni proprietà. Il mascheramento selettivo mantiene completamente mascherati nomi, indirizzi, e-mail, telefono, campi di pagamento e aree di testo libero e sostituisce solo le cifre altrove. La modalità senza mascheramento registra l’input così come digitato.
• I due livelli meno restrittivi richiedono approvazione scritta: MousePlayer li abilita solo per una proprietà indicata, su richiesta motivata del Titolare, e registra l’approvazione con ora e autore. La restrizione è applicata sui server di MousePlayer: se un livello memorizzato supera l’approvazione, è ridotto al livello approvato prima che l’impostazione raggiunga il browser. La revoca di un’approvazione ha effetto alla connessione successiva e riporta la proprietà al mascheramento completo.
• Due limiti che nessuna approvazione rimuove: i campi riconosciuti come password o dati di pagamento restano completamente mascherati a ogni livello; inoltre il mascheramento non si estende mai al contenuto che il sito stesso visualizza nella pagina – una pagina di conferma che mostra un indirizzo fa parte dell’istantanea DOM e quindi della riproduzione. Il riconoscimento confronta nome, id, tipo e attributo autocomplete del campo con un elenco che comprende termini inglesi, tedeschi e polacchi; un campo che non corrisponde a nulla è considerato ordinario. Le regioni contrassegnate con data-mp-mask o mp-masked sono escluse interamente. Il Titolare non deve affidarsi esclusivamente al riconoscimento automatico.
• Assistenza: MousePlayer assiste il Titolare nell’adempimento delle richieste degli Utenti finali ai sensi del capo III GDPR e dei suoi obblighi ai sensi degli artt. 32 a 36 GDPR.
• Punto di contatto e assenza di un responsabile della protezione dei dati: le questioni di protezione dei dati relative a questo accordo possono essere indirizzate a MousePlayer all’indirizzo office@mouseplayer.com. Non è stato designato un responsabile della protezione dei dati. La valutazione ai sensi dell’art. 37(1)(b) GDPR è documentata, con data e motivazione, nel paragrafo 9 del Registro delle attività di trattamento: il criterio del monitoraggio regolare e sistematico è soddisfatto; la larga scala non risulta dalle cifre attuali. Poiché il secondo elemento dipende dal numero di utenti finali osservati – determinato dal traffico del Titolare, non da MousePlayer – è misurato ogni giorno e la valutazione è ripetuta oltre 100000 utenti finali al mese nell’insieme dei Titolari e comunque annualmente. Una designazione, obbligatoria o volontaria, è pubblicata in questo accordo e notificata all’autorità di controllo.

5. Sicurezza del trattamento

MousePlayer attua misure tecniche e organizzative adeguate al rischio, comprese cifratura in transito, separazione logica delle aree di lavoro dei Clienti in ogni percorso di lettura e scrittura, applicazione lato server del modello di ruoli e interruzione automatica delle connessioni non autorizzate alla visualizzazione dal vivo. Tutte le connessioni da Internet avvengono esclusivamente tramite HTTPS o WSS: quelle dello script di tracciamento – normalmente tramite WebSocket, tramite HTTP come alternativa quando non è possibile stabilire una connessione WebSocket e come caricamento HTTP per istantanee di pagina grandi – nonché quelle verso l’applicazione e l’API. La cifratura termina sul server di MousePlayer. All’interno della sua rete locale nello stesso sito, le connessioni al database e alla cache non sono cifrate; sono protette da password e non possono essere raggiunte da Internet.

Le misure sono descritte integralmente e mantenute aggiornate nelle Misure tecniche e organizzative, che formano parte integrante di questo accordo.

6. Sub-responsabili

Il Titolare concede a MousePlayer un’autorizzazione scritta generale a ricorrere a sub-responsabili. L’elenco attuale, con finalità, categorie di dati e luogo del trattamento, è pubblicato alla pagina Sub-responsabili.

Trasmissioni attivate dal titolare. MousePlayer offre connettori che inviano dati a destinatari scelti dal titolare: a un indirizzo webhook fornito da lui, al suo sistema di gestione delle relazioni con i clienti, al suo helpdesk o sistema di ticket, al suo sistema di e-mail e lifecycle marketing, al suo account pubblicitario presso una rete pubblicitaria (Conversions API), al suo archivio di oggetti o foglio di calcolo e al suo sistema di gestione di problemi e attività. Questo elenco indica deliberatamente categorie anziché fornitori: i fornitori disponibili in una categoria cambiano con le funzionalità e ciò non cambia chi ricopre quale ruolo. È determinante ciò che il titolare ha effettivamente attivato nelle impostazioni del progetto. Le trasmissioni avvengono solo se il titolare attiva il relativo connettore e memorizza le proprie credenziali; è questa l’istruzione su cui si basano. I destinatari non sono sub-responsabili di MousePlayer — la relazione contrattuale con essi, comprese eventuali garanzie per i trasferimenti a paesi terzi, esiste tra il titolare e il rispettivo destinatario. Ciò che viene esattamente trasmesso è indicato nel Registro delle attività di trattamento, paragrafo 4. La trasmissione a Meta avviene esclusivamente per sessioni con consenso prestato ed esclusivamente per obiettivi raggiunti; nome, indirizzo e-mail, numero di telefono e indirizzo IP ne sono esclusi.

Nessuna terza parte partecipa alla registrazione stessa: lo script di tracciamento trasmette esclusivamente all’infrastruttura di MousePlayer. Esiste un destinatario ulteriore: una copia giornaliera esterna del database completo e dell’archivio delle registrazioni — incluse le registrazioni delle sessioni — è conservata presso Google (Google Cloud Storage, bucket a Varsavia). Vi è conservata cifrata dall’11/08/2026: la cifratura avviene sul nostro server prima del trasferimento (rclone crypt) e comprende anche i nomi di file e directory; le chiavi sono conservate sul nostro server. Google non le riceve e non può leggere il contenuto, ma rimane un sub-responsabile: la cifratura è una misura tecnica, non un cambiamento di ruolo. La precedente cartella di destinazione non cifrata contenente le copie anteriori all’11/08/2026 è stata eliminata il 12/08/2026.

MousePlayer informa il Titolare 30 giorni prima che un nuovo sub-responsabile inizi il trattamento o che uno esistente venga sostituito. Entro tale termine il Titolare può opporsi per ragionevoli motivi di protezione dei dati; se l’opposizione non può essere risolta, il Titolare può porre fine al servizio interessato. La notifica avviene via e-mail e mediante un avviso nell’area riservata; un’opposizione deve essere inviata in forma testuale a office@mouseplayer.com. MousePlayer vincola contrattualmente ogni sub-responsabile agli obblighi di protezione dei dati dell’art. 28(4) GDPR che offrano garanzie sufficienti di misure tecniche e organizzative adeguate – per i fornitori che offrono solo condizioni standard, le loro condizioni sul trattamento dei dati – e rimane pienamente responsabile verso il Titolare dell’adempimento di tali obblighi.

La precedente eccezione non esiste più. Fino al 05/09/2026, la copia di backup esterna descritta sopra era conservata in un account Google privato per il quale non sono disponibili condizioni sul trattamento dei dati; ciò derogava alla frase precedente e all’art. 28(4) GDPR e la versione 1.3 di questo accordo lo dichiarava apertamente. Dal 05/09/2026 la copia è conservata in Google Cloud Storage (regione europe-central2, Varsavia) ed è coperta dal Google Cloud Data Processing Addendum; le copie precedentemente conservate nell’account privato sono state eliminate il 06/09/2026, dopo aver verificato un ripristino dalla nuova destinazione. La cifratura prima del trasferimento rimane in vigore. I testi generati sono redatti da un modello linguistico sull’hardware di MousePlayer; non è coinvolto alcun servizio IA esterno.

7. Diritti degli interessati

MousePlayer assiste il Titolare, tenendo conto della natura del trattamento, nel rispondere alle richieste degli Utenti finali. L’eliminazione di una singola sessione e di tutte le sessioni di un visitatore è disponibile nell’applicazione per i ruoli owner e admin. Inoltre, è disponibile una pagina informativa attraverso cui gli Utenti finali possono ottenere informazioni sulle proprie sessioni e chiederne la cancellazione, purché dispongano del proprio identificatore visitatore (paragrafo 14.4 dei Termini di servizio). Le richieste rivolte dagli Utenti finali direttamente a MousePlayer vengono inoltrate al Titolare, informato senza ingiustificato ritardo.

Un limite è dichiarato apertamente: poiché gli indirizzi IP sono memorizzati solo in forma mascherata, l’indirizzo mascherato da solo non identifica sempre tutte le registrazioni appartenenti a una persona. Quanto più precisamente una richiesta può essere circoscritta (sito, ora approssimativa, pagina), tanto più completamente può essere soddisfatta.

I registri delle decisioni di consenso sono conservati oltre la cancellazione di una registrazione. Non contengono dati comportamentali, ma solo fatto, ora e fonte della decisione e servono all’obbligo di responsabilizzazione ai sensi dell’art. 5(2) GDPR.

8. Violazione dei dati personali

In caso di violazione dei dati personali che riguardi dati del Titolare, MousePlayer informa il Titolare senza ingiustificato ritardo e al più tardi entro 48 ore da quando ne viene a conoscenza. La notifica contiene le informazioni necessarie al Titolare per adempiere ai propri obblighi ai sensi degli artt. 33 e 34 GDPR.

Indirizzo per le segnalazioni: office@mouseplayer.com

9. Conservazione e cancellazione

La cancellazione è automatica e avviene senza intervento:

• Gratuito: 7 giorni · Small: 30 giorni · Business: 90 giorni · Enterprise: come concordato individualmente.
• Dopo un passaggio a un piano inferiore si applica un periodo di tolleranza di 30 giorni e, al termine di un abbonamento a pagamento, uno di almeno 30 giorni; durante tale periodo continua la conservazione precedente più lunga.
• Si applicano periodi più brevi: le registrazioni delle sessioni identificate come automatizzate (bot) sono svuotate dopo un giorno e le sessioni eliminate dopo 14 giorni; per un account gratuito classificato come sospetto di abuso alla registrazione, le registrazioni sono eliminate dopo 24 ore.
• I log di accesso dell’applicazione sono cancellati dopo 60 giorni, i log del server web dopo 14 giorni e i log di sicurezza dopo 72 ore; i link di condivisione scaduti o revocati sono cancellati insieme al log delle visualizzazioni 90 giorni dopo la scadenza o revoca.

Al termine dei servizi MousePlayer restituisce o cancella i dati a scelta del Titolare: la restituzione avviene mediante l’acquisizione dei propri dati da parte del Titolare tramite le esportazioni dei paragrafi 24.1 e 24.1a dei Termini di servizio prima della cancellazione; MousePlayer non è tenuto alla restituzione in altra forma. Alla cessazione dell’account del Titolare, MousePlayer cancella tutti i Dati personali associati entro 30 giorni, salvo che il diritto dell’Unione o degli Stati membri richieda ulteriore conservazione. L’eliminazione è avviata dal Cliente nelle impostazioni dell’account; non occorre alcuna richiesta via e-mail. Inizialmente archivia l’account: l’accesso termina subito, nulla viene più registrato o mostrato e per 30 giorni possiamo ancora ripristinarlo su richiesta se l’eliminazione è stata un errore. Dopo tale periodo è cancellato definitivamente; all’avvio dell’eliminazione, il Cliente può anche scegliere la cancellazione definitiva immediata. Anche un progetto o un’area di lavoro eliminati dal Cliente sono prima archiviati per 30 giorni e possono essere ripristinati nella dashboard durante tale periodo. Un account del piano gratuito a cui nessuno accede da 24 mesi è eliminato ai sensi del paragrafo 6.5 dei Termini di servizio dopo la consegna di una notifica; questa eliminazione non prevede archiviazione iniziale. Tre elementi sono deliberatamente conservati perché richiesto dalla legge o perché documentano una decisione anziché una persona: il registro di accettazione di questi documenti, il log di sicurezza e delle modifiche (con riferimento all’utente rimosso) e le richieste di assistenza. Un’area di lavoro può essere trasferita a un altro account invece di essere eliminata con esso. Il trasferimento ha effetto solo quando il destinatario lo ha espressamente accettato; l’invito scade dopo tre giorni. Con l’accettazione il destinatario diventa proprietario e quindi controparte contrattuale del Titolare per quell’area di lavoro e da quel momento si applica il suo piano, che può ridurre il periodo di conservazione delle registrazioni contenute.

Backup, indicati con cifre. Ogni giorno viene creata una copia esterna, conservata cifrata; le copie giornaliere sono conservate per 7 giorni e quelle settimanali per 364 giorni. I Dati personali cancellati nel sistema in esercizio rimangono nelle copie fino alla loro scadenza – al massimo 364 giorni dopo la cancellazione. Ciò vale anche per le registrazioni delle sessioni trasferite dal database all’archivio delle registrazioni dopo 7 giorni: l’archivio fa parte del backup dal 06/10/2026 e ai suoi contenuti si applica lo stesso periodo massimo.

Non viene effettuata una cancellazione selettiva all’interno di un backup. Una copia è un unico archivio sigillato che deve essere l’immagine fedele di un preciso momento; aprirlo, rimuovere qualcosa e sigillarlo di nuovo distruggerebbe tale proprietà e la possibilità di dimostrare che nessuno l’ha alterato. I backup servono solo a ripristinare il sistema dopo una perdita – non vengono consultati, analizzati né comunicati. Quando un backup è ripristinato, le richieste di cancellazione registrate per gli Utenti finali vengono eseguite di nuovo prima del ritorno in servizio; il registro di tali richieste è conservato a questo scopo e non contiene nulla oltre quanto necessario a ripetere la cancellazione. Per un account del Titolare eliminato la situazione è diversa ed è dichiarata, non sorvolata: la sua eliminazione non lascia deliberatamente alcun registro che lo identifichi, per cui una copia ripristinata conterrebbe un account eliminato dopo la data della copia. Un ripristino avviene solo dopo una perdita totale; se accade, MousePlayer lo comunica.

10. Audit, durata e lingua prevalente

• Audit. MousePlayer mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto dell’art. 28 GDPR e consente e contribuisce agli audit, comprese le ispezioni, svolti dal Titolare o da un revisore da lui incaricato; ambito, forma e frequenza sono disciplinati dalle frasi seguenti. L’audit è effettuato principalmente mettendo a disposizione report sulle misure tecniche e organizzative o mediante questionari scritti. Il Titolare può richiedere un audit in loco (un’ispezione ai sensi di questo paragrafo) solo in presenza di un sospetto concreto di violazione degli obblighi di protezione dei dati; deve preannunciarlo con almeno 30 giorni di anticipo in forma testuale. Il Titolare può richiedere un solo audit in loco per anno civile ai sensi della frase precedente; tale audit è gratuito. Se una violazione dei dati personali ai sensi del paragrafo 8 ha interessato dati del Titolare ed è stata causata dolosamente o colposamente da MousePlayer, dai suoi dipendenti, dalle persone di cui si avvale per adempiere agli obblighi di questo accordo o dai suoi sub-responsabili, il Titolare può richiedere un audit in loco indipendentemente dal fatto che ne sia già stato svolto uno nell’anno civile interessato; deve richiederlo entro tre mesi dalla notifica ai sensi del paragrafo 8. Ogni violazione di questo tipo dà luogo a un audit in loco ai sensi della frase precedente; dopo lo svolgimento dell’audit o dopo la scadenza del termine di tre mesi senza che sia stato richiesto, la stessa violazione non può più essere invocata per un altro audit in loco. Un audit in loco ai sensi delle due frasi precedenti è gratuito in ogni caso; se nell’anno civile interessato non si è ancora svolto alcun audit in loco, esso conta come audit in loco di tale anno e da tale conteggio non deriva alcun ulteriore audit in loco. Insieme alla notifica ai sensi del paragrafo 8, MousePlayer fornisce al Titolare la documentazione della violazione dei dati personali, affinché questi possa valutare se le condizioni siano soddisfatte. Solo gli audit in loco contano ai fini dell’unico audit per anno civile sopra indicato; report e questionari scritti non vengono conteggiati. Non si svolgono audit in loco al di fuori dei casi descritti nelle frasi precedenti. Il Titolare sostiene i costi di un audit solo se esso è consentito dalle frasi precedenti e non è gratuito ai sensi delle stesse, e soltanto nella misura in cui supera l’impegno consueto e ragionevole. Un report indipendente sulle misure tecniche e organizzative, un certificato o autovalutazioni dettagliate sono accettati come prova nella misura in cui esistano; lo stato degli audit esterni e delle certificazioni di sicurezza è indicato nel paragrafo 6 delle Misure tecniche e organizzative. Queste disposizioni mirano a limitare gli audit in loco al minimo necessario. Restano impregiudicati i diritti inderogabili di audit del Titolare ai sensi dell’art. 28(3)(h) GDPR e i poteri delle autorità di controllo.
• Durata. Questo accordo ha effetto quando il Titolare inizia a utilizzare il servizio e rimane in vigore finché MousePlayer tratta Dati personali per suo conto.
• Documenti correlati. Misure tecniche e organizzative, Sub-responsabili, Informativa sulla privacy.
• Versione: 1.6 · Efficace dal: 16/10/2026 · sostituisce la versione 1.5 del 07/10/2026. Modifiche: il paragrafo 2 elenca integralmente le categorie di dati trattati; il paragrafo 4 indica che un indirizzo bloccato è conservato in una cache al massimo per la durata di blocco configurata e che anche i valori nel frammento di un indirizzo sono oscurati; il paragrafo 5 descrive con precisione i percorsi di trasporto, comprese le connessioni non cifrate nella rete locale; i paragrafi 6 e 9 indicano che l’archivio delle registrazioni fa parte del backup dal 06/10/2026; il paragrafo 9 indica i periodi più brevi per sessioni bot e account sospettati di abuso, il periodo di tolleranza dopo la fine di un abbonamento e l’eliminazione degli account gratuiti inutilizzati. Fanno inoltre parte di questa versione: il paragrafo 2 indica oggetto e finalità, tipi di dati personali e persone che aprono un link di condivisione; il paragrafo 4 indica le informazioni fornite prima di un trattamento imposto dalla legge, la forma delle istruzioni, la comunicazione di istruzioni illecite, l’abilitazione regionale, i log del server web e la durata di blocco configurata; il paragrafo 6 descrive come i sub-responsabili sono vincolati contrattualmente e la forma di notifica e opposizione e non afferma più che le chiavi sono conservate esclusivamente sul nostro server; il paragrafo 7 indica la pagina informativa per gli Utenti finali e la gestione delle richieste rivolte direttamente a noi; il paragrafo 9 indica restituzione o cancellazione a scelta del Titolare, periodi di tolleranza, log del server web e cancellazione dei link di condivisione. La versione 1.5 sostituiva la versione 1.4 del 17/09/2026. Modifica: paragrafo 9 – un’eliminazione avviata dal Cliente archivia prima l’account e i progetti o le aree di lavoro che elimina per 30 giorni prima della cancellazione definitiva; il Cliente può scegliere la cancellazione definitiva immediata. La versione 1.4 sostituiva la versione 1.3 del 19/08/2026. Modifica: paragrafo 6 – l’eccezione per il backup esterno è venuta meno, perché dal 05/09/2026 la copia è conservata in Google Cloud Storage a Varsavia ai sensi del Google Cloud Data Processing Addendum; inoltre la frase secondo cui i testi generati sono redatti su hardware proprio. La versione 1.3 sostituiva la versione 1.2 dell’11/08/2026. Modifica: il paragrafo 4 aggiunge un punto di contatto e la valutazione dell’art. 37; il paragrafo 6 indica il sub-responsabile che opera senza un accordo ai sensi dell’art. 28, non dichiarato nella formulazione precedente; il paragrafo 9 indica la conservazione del backup con cifre e che cosa accade durante un ripristino.
• Lingua prevalente. In caso di divergenze tra le versioni linguistiche, prevale la versione inglese.