Balance — Allegato per i Paesi dell'Unione Europea e dello Spazio Economico Europeo

Effective date: 28 June 2026 Last updated: 28 June 2026

Titolare: , Direttore, BabaYaga Program, TOO — agisce anche come Responsabile della Privacy e Responsabile Designato per la Sicurezza dei Minori per tutti i residenti UE/SEE coperti dal presente Allegato. Revisione: almeno una volta all'anno, entro il 9 giugno. Riaperta immediatamente in caso di: (a) qualsiasi modifica al Regolamento generale sulla protezione dei dati dell'UE (Regolamento (UE) 2016/679) o qualsiasi strumento successore dell'UE direttamente applicabile, (b) qualsiasi linea guida, parere o decisione vincolante del Comitato europeo per la protezione dei dati ("EDPB") che alteri in modo sostanziale l'applicazione del GDPR a un servizio di parental control, (c) qualsiasi modifica alla deroga nazionale di uno Stato membro all'articolo 8, paragrafo 1, del GDPR (l'"età del consenso digitale"), (d) qualsiasi esito di contenzioso della Corte di giustizia dell'Unione europea ("CGUE") che modifichi in modo sostanziale la validità del Quadro UE-USA per la protezione dei dati o delle Clausole contrattuali tipo dell'UE (Decisione di esecuzione (UE) 2021/914 della Commissione), (e) qualsiasi atto di attuazione del Digital Services Act (Regolamento (UE) 2022/2065) o linea guida della Commissione che ridefinisca le definizioni di "servizio di hosting" / "piattaforma online" del DSA in modo da includere Balance nel suo ambito di applicazione, (f) qualsiasi modifica al Codice europeo delle comunicazioni elettroniche (Direttiva (UE) 2018/1972) o alla Direttiva ePrivacy (Direttiva 2002/58/CE, modificata dalla Direttiva 2009/136/CE) (o al prospective Regolamento ePrivacy che la sostituirà), (g) qualsiasi modifica al mandato del rappresentante UE di Prighter, o (h) qualsiasi modifica alla posizione di un sub-responsabile del trattamento riguardo alla gestione dei dati in UE/SEE ai sensi di our sub-processor register. Classificazione: Allegato legale pubblico. Il presente documento è pubblicato su Privacy Policy insieme all'Informativa sulla privacy globale (H1) e su Children's Privacy Notice insieme all'Informativa sulla privacy per i minori (H2), ed è incorporato per riferimento in entrambi. È uno degli allegati per Paese che accompagnano i documenti globali nell'ambito dell'architettura "politica globale + allegato per Paese" documentata in our internal compliance plan § 6.3.

Il presente Allegato adempie agli obblighi degli allegati per Paese di cui ai seguenti documenti:

• Privacy Policy § 18 (Allegati per Paese — riga UE/SEE).
• Children's Privacy Notice § 14 (Allegati per Paese — riga UE/SEE).
• Child Safety Standards § 13 (Allegati per Paese — riga UE/SEE).
• Terms of Service § 19 (Deroga UE a tutela dei consumatori ai sensi della Direttiva 2011/83/UE sui diritti dei consumatori, della Direttiva 93/13/CEE sulle clausole abusive nei contratti dei consumatori e della Direttiva (UE) 2019/770 sui contenuti e i servizi digitali) e § 23 (Blocco contatti del rappresentante UE).
• Subscription Terms § 20 (Direttiva sui diritti dei consumatori 2011/83/UE — diritto di recesso di 14 giorni per i contratti a distanza; Direttiva (UE) 2019/2161 per una migliore applicazione e modernizzazione delle norme UE a tutela dei consumatori — informativa sul rinnovo automatico).
• Data Retention & Deletion Policy § 14 (percorso di reclamo per Stato membro).
• our breach-notification runbook § 9.1 (percorso di notifica di violazione da parte del titolare UE/SEE tramite Prighter a ciascuna autorità di controllo competente entro la finestra di 72 ore).
• our international-transfer pack (Clausole contrattuali tipo UE + Quadro UE-USA per la protezione dei dati + Valutazione d'impatto sul trasferimento come componente UE/SEE del pacchetto di trasferimento).

Il presente Allegato costituisce l'estensione canonica per i residenti UE/SEE dell'Informativa sulla privacy globale e dell'Informativa sulla privacy per i minori. Laddove il presente Allegato conceda a un residente UE/SEE un diritto non previsto dalla Politica globale, prevarrà il presente Allegato. Laddove la Politica globale conceda a un residente UE/SEE un diritto non previsto dal presente Allegato, prevarrà la Politica globale. I due documenti vanno letti congiuntamente.

1. Ambito di applicazione e applicabilità

Il presente Allegato si applica a ogni utente di Balance (genitore o minore) il cui Paese di residenza sia uno degli Stati membri dell'Unione Europea o uno degli Stati membri non-UE dello Spazio Economico Europeo di seguito elencati.

1.1 Stati membri UE interessati (27)

Austria, Belgio, Bulgaria, Croazia, Cipro, Cechia, Danimarca, Estonia, Finlandia, Francia, Germania, Grecia, Ungheria, Irlanda, Italia, Lettonia, Lituania, Lussemburgo, Malta, Paesi Bassi, Polonia, Portogallo, Romania, Slovacchia, Slovenia, Spagna, Svezia.

1.2 Stati membri SEE non-UE interessati (3)

Islanda, Liechtenstein, Norvegia. Il GDPR UE è stato reso applicabile ai tre Stati membri SEE non-UE dalla Decisione del Comitato misto SEE n. 154/2018 del 6 luglio 2018, che ha incorporato il Regolamento (UE) 2016/679 nell'Allegato XI dell'accordo SEE. La posizione sostanziale di Balance è pertanto identica per i residenti nei 27 Paesi UE e nei 3 Paesi SEE.

1.3 Cosa non rientra nell'ambito di applicazione del presente Allegato

• Regno Unito. Coperto da United Kingdom annex. Il Regno Unito ha lasciato l'UE il 31 gennaio 2020 e il GDPR UE non è più applicabile nel Regno Unito; si applica invece il quadro UK GDPR + Data Protection Act 2018.
• Svizzera. La Svizzera non è uno Stato membro del SEE. La Legge federale svizzera sulla protezione dei dati ("LPD" / "nuova LPD" del 1° settembre 2023) è la legge applicabile ed è oggetto di un separato, futuro Allegato per la Svizzera (in coda in our internal compliance plan Fase 1.x — Allegato Svizzera). Fino alla pubblicazione dell'Allegato per la Svizzera, i residenti svizzeri sono serviti dall'Informativa sulla privacy globale e dall'Informativa sulla privacy per i minori sulla base del denominatore comune più protettivo (in pratica, la posizione sostanziale del presente Allegato, con l'Incaricato federale della protezione dei dati e dell'informazione ("IFPDI") svizzero su https://www.edoeb.admin.ch/ sostituito come autorità di controllo).
• Microstati all'interno dell'area geografica dell'UE. Andorra (propria legge sulla protezione dei dati; Autorità per la protezione dei dati andorrana APDA), Monaco (propria legge; Commission de Contrôle des Informations Nominatives CCIN), San Marino (propria legge), Città del Vaticano (proprio quadro di diritto canonico). Questi sono trattati nel prospective Allegato per i Microstati in coda in our internal compliance plan.
• Regioni ultraperiferiche dell'UE e Paesi e territori d'oltremare (PTOM). Laddove un PTOM (ad es., la Groenlandia in relazione alla Danimarca; i dipartimenti d'oltremare francesi come Riunione, Martinica, Guadalupa, Guyana francese, Mayotte) erediti il GDPR tramite il quadro del proprio Stato membro di appartenenza, si applica la riga dello Stato membro di appartenenza di cui al § 4. Gli altri PTOM (ad es., Polinesia francese, Nuova Caledonia, Aruba, Curaçao, Sint Maarten) seguono il quadro legale del proprio Stato membro di appartenenza, se applicabile, e altrimenti si applica la Politica globale sulla base del denominatore comune più protettivo fino alla pubblicazione di un allegato dedicato.

1.4 Come determiniamo la residenza

Determiniamo il Paese di residenza al momento dell'installazione/registrazione tramite (a) il Paese e la regione che il genitore autodichiara nel flusso di onboarding in-app, (b) la geolocalizzazione IP letta al momento della registrazione (che eliminiamo immediatamente dopo la decisione sulla residenza — our internal data-flow map § 2.1 non memorizza alcun IP dopo la chiusura della richiesta di autenticazione), e (c) la lingua dell'account del Play Store che Google Play ci trasmette all'installazione. La determinazione della residenza è rivedibile in qualsiasi momento dal genitore in Impostazioni → Account → Regione.

Laddove i tre segnali non coincidano, viene selezionata l'interpretazione più protettiva per l'interessato, ai sensi di our internal compliance plan § 6.3.

2. Quadro normativo — cosa si applica

Il regime UE/SEE per la protezione dei dati e la sicurezza online si trova all'intersezione tra un Regolamento e diverse Direttive + atti di recepimento degli Stati membri. La tabella seguente rappresenta la mappatura canonica lato Balance.

(L'AI Act dell'UE — Regolamento (UE) 2024/1689 — è intenzionalmente omesso dal presente Allegato sul principio che il presente Allegato non rilascia alcuna dichiarazione affermativa o negativa sul fatto che Balance elabori o meno dati personali utilizzando tecniche rientranti nell'ambito di applicazione di tale Regolamento. La posizione sostanziale del prodotto di Balance è descritta altrove nel pacchetto di politiche e costituisce il riferimento vincolante; il silenzio del presente Allegato sull'AI Act è deliberato e non deve essere interpretato come una dichiarazione implicita in un senso o nell'altro.)

3. Autorità di controllo UE/SEE — nessuno sportello unico

3.1 Nessuna autorità di controllo capofila

L'art. 56, par. 1 del GDPR crea un meccanismo di "sportello unico" in base al quale un titolare o responsabile del trattamento che ha una "stabilimento principale" o un "unico stabilimento" nell'UE è gestito da un'unica autorità di controllo capofila per il trattamento transfrontaliero. Lo sportello unico è disponibile solo per i titolari o responsabili del trattamento con almeno uno stabilimento nell'UE.

BabaYaga Program, TOO ha sede in Kazakistan e non ha alcuno stabilimento all'interno dell'UE. Di conseguenza, l'art. 56 non si applica a Balance e non vi è alcuna autorità di controllo capofila. Ciascuna autorità di controllo nazionale è pienamente competente ai sensi dell'art. 55, par. 1 del GDPR per i dati dei residenti di quello Stato membro.

La conseguenza pratica è che un residente UE/SEE può presentare un reclamo all'autorità di controllo dello Stato membro in cui risiede abitualmente, in cui lavora o in cui si è verificata la presunta violazione (art. 77, par. 1 del GDPR). Ciascuna di tali autorità tratterà il reclamo in base alla propria competenza; i meccanismi di cooperazione e coerenza di cui al Capo VII del GDPR non sono attivati poiché non vi è un'autorità di controllo capofila con cui coordinarsi.

3.2 Rappresentante UE ai sensi dell'art. 27 come punto di contatto locale

Per compensare l'assenza di uno stabilimento nell'UE, l'art. 27 del GDPR ci impone di designare un rappresentante nell'UE quando offriamo beni o servizi a interessati nell'UE. Abbiamo designato:

Rappresentante UE: Prighter Group GmbH (operante come Prighter)
Indirizzo:         Schellinggasse 3, 1010 Vienna, Austria
Capacità:          Rappresentante ai sensi dell'art. 27 del GDPR per UE/SEE
Mandato:           Balance / BabaYaga Program, TOO — firmato dalle parti all'inizio
                   della Fase 2.1 di our internal compliance plan
Pubblicazione:     privacy.html § 19
Punto di contatto: https://app.prighter.com/portal/12736305032 — gli interessati UE/SEE possono
                   contattare Prighter per presentare una richiesta, un reclamo o
                   una DSAR ai sensi del GDPR; Prighter inoltra la questione a noi entro un giorno
                   lavorativo.

La designazione di un rappresentante ai sensi dell'art. 27 non trasferisce la responsabilità di titolare del trattamento da BabaYaga Program, TOO a Prighter — noi rimaniamo il titolare del trattamento; Prighter è il punto di contatto locale per gli interessati UE/SEE e le autorità di controllo UE/SEE. Un interessato UE/SEE può sempre contattarci direttamente all'indirizzo ; il percorso Prighter è fornito come un'alternativa amichevole per i residenti UE/SEE nella lingua dello Stato membro dell'interessato.

3.3 Comitato europeo per la protezione dei dati (EDPB)

L'EDPB (https://edpb.europa.eu/) è l'organismo dell'UE composto dai capi di un'autorità di controllo di ciascuno Stato membro e dal Garante europeo della protezione dei dati ("GEPD"). Emana linee guida, raccomandazioni, pareri e (in circostanze definite ai sensi dell'art. 65 del GDPR) decisioni vincolanti. L'EDPB non è un organismo di gestione dei reclami; i reclami vanno presentati alla pertinente autorità garante nazionale ai sensi del § 4 di seguito.

3.4 Garante europeo della protezione dei dati (GEPD)

Il GEPD (https://edps.europa.eu/) è l'autorità di controllo per le istituzioni, gli organi e gli organismi dell'UE. Il GEPD non è un'autorità competente per Balance; un residente UE/SEE non presenta reclami al GEPD.

4. Tabella degli Stati membri — Autorità garante + età del consenso digitale + lingua

La tabella seguente rappresenta la mappatura canonica lato Balance di ciascuno Stato membro UE/SEE rispetto a (a) la sua autorità di controllo competente ai sensi dell'art. 51 del GDPR, (b) la deroga nazionale ai sensi dell'art. 8, par. 1 del GDPR (età al di sotto della quale il consenso di un minore ai servizi della società dell'informazione richiede la verifica da parte del titolare della responsabilità genitoriale), (c) la lingua legale in-app che Balance distribuisce alla Data di efficacia di cui sopra.

4.1 Come Balance applica la varianza dell'età del consenso digitale

Balance è un servizio di parental control in cui il genitore — ovvero il titolare della responsabilità genitoriale ai sensi del quadro di diritto di famiglia dello Stato membro applicabile — crea l'account, configura il profilo del minore e associa il dispositivo del minore. Il Consenso Genitoriale Verificabile è ottenuto dal genitore all'onboarding del minore (riferimento incrociato: Children's Privacy Notice § 5; United States annex § 5) indipendentemente dall'età del minore. La variazione per Stato membro della soglia di età dell'art. 8, par. 1 non sblocca quindi un percorso di consenso autonomo del minore all'interno di Balance — è sempre il genitore a dare il consenso per conto del minore.

La varianza comporta comunque due conseguenze operative:

• Testo dell'Informativa sulla privacy per i minori. La riga degli allegati per Paese del § 14 di H2 viene letta congiuntamente alla tabella del § 4 del presente Allegato affinché il genitore in ciascuno Stato membro veda, in linguaggio semplice, l'età precisa al di sotto della quale il legislatore nazionale ha scelto di richiedere la verifica genitoriale.
• Rollout delle lingue in-app nella Fase 2. Le lingue supportate iniziali (dal 2026-06-09) sono Inglese (en-IE per Irlanda + Malta), Spagnolo (es-ES), Francese (fr-FR), Tedesco (de-DE), Italiano (it-IT) e Olandese (nl-NL) — sei lingue che coprono le sei maggiori popolazioni residenti nell'UE che Balance attualmente prevede. Le restanti lingue nella tabella sopra sono in coda per la Fase 2 (senza impegno per una data specifica fino a quando non si concluderà la revisione legale del testo di ciascuna lingua ai sensi di the internal counsel-review record).

5. Digital Services Act (DSA) — analisi di applicabilità

Il DSA (Regolamento (UE) 2022/2065) crea un insieme stratificato di obblighi per tre classi di fornitori:

• Servizi intermediari (art. 3, lett. g)): mere conduit, caching, hosting.
• Piattaforme online (art. 3, lett. i)): un servizio di hosting che, su richiesta di un destinatario del servizio, memorizza e diffonde informazioni al pubblico.
• Piattaforme online di dimensioni molto grandi (VLOP, art. 33) e Motori di ricerca online di dimensioni molto grandi (VLOSE, art. 33): piattaforme online / motori di ricerca designati dalla Commissione Europea come aventi un numero medio di destinatari attivi mensili nell'Unione pari o superiore a 45 milioni.

5.1 Perché Balance non è un servizio di hosting ai sensi dell'art. 3, lett. g), punto iii)

L'art. 3, lett. g), punto iii) definisce un servizio di "hosting" come un servizio che "consiste nella memorizzazione di informazioni fornite da un destinatario del servizio e su sua richiesta".

L'architettura dei file multimediali di prova di Balance non soddisfa tale definizione. Il file di prova è:

• generato sul dispositivo del minore dall'azione del minore stesso (acquisizione di foto/video/audio, in risposta a un'attività deterministica definita dal genitore);
• crittografato sul dispositivo del minore prima di qualsiasi chiamata di rete, con una nuova chiave di crittografia del file per file associata alla chiave pubblica X25519 di ciascun dispositivo genitore autorizzato (riferimento incrociato: our encryption-posture record § 2; Child Safety Standards § 5.3);
• caricato come testo cifrato opaco su Google Cloud Storage tramite un URL firmato V4 di 5 minuti generato dal backend;
• fruito all'interno del nucleo familiare dal dispositivo/genitore associato del minore, ed è poi soggetto alla regola di conservazione di 30 giorni post-chiusura attività in Data Retention & Deletion Policy.

Il minore non sta "richiedendo la memorizzazione" nel senso autonomo dell'art. 3, lett. g), punto iii) — il minore sta completando un'attività assegnata dal genitore all'interno di un flusso di lavoro deterministico di parental control, e il genitore (in quanto titolare della responsabilità genitoriale e titolare del trattamento su cui istruzione viene eseguito il flusso di lavoro) è il destinatario e il richiedente. Non vi è alcun destinatario terzo. Non vi è alcuna diffusione al pubblico. Il payload cifrato è opaco per Balance, opaco per Google Cloud Storage e opaco per ogni sub-responsabile del trattamento di Balance.

Anche nell'interpretazione alternativa in cui i file multimediali di prova sono "memorizzati" ai sensi dell'art. 3, lett. g), punto iii), la condizione ulteriore dell'art. 3, lett. i) — che le informazioni siano "diffuse al pubblico" — non è soddisfatta. L'art. 3, lett. k) definisce la "diffusione al pubblico" come "la messa a disposizione di informazioni, su richiesta del destinatario del servizio che ha fornito le informazioni, a un numero potenzialmente illimitato di terzi". Balance non diffonde nulla a "un numero illimitato di terzi"; la prova è crittografata end-to-end per il/i dispositivo/genitore associato/i dello stesso nucleo familiare e per nessun altro destinatario.

5.2 Perché Balance non è una piattaforma online ai sensi dell'art. 3, lett. i)

Indipendentemente dal § 5.1, Balance non ha alcuna superficie di "piattaforma online" ai sensi dell'art. 3, lett. i). Nello specifico:

• Nessuna chat (minore-a-minore, minore-a-genitore-fuori-dal-nucleo-familiare, genitore-a-genitore o di altro tipo);
• Nessun profilo pubblico;
• Nessuna lista di amici;
• Nessun post;
• Nessun commento;
• Nessun DM;
• Nessuna stanza di gruppo;
• Nessuna galleria pubblica;
• Nessun feed di scoperta;
• Nessun consiglio;
• Nessuna ricerca di utenti o contenuti;
• Nessun marketplace;
• Nessuna reazione, follow, cuore, stella, badge visibili pubblicamente o qualsiasi altra segnalazione sociale utente-a-utente.

Riferimenti incrociati: the Play Console Data Safety form § 2 (Contiene pubblicità: No; Condiviso con terze parti: No su ogni riga); the Play Console Child Safety Standards declaration § 3 ATTESTATION-A (nessuna superficie multi-utente), ATTESTATION-D (nessuna pubblicità), ATTESTATION-G (nessuna condivisione con terze parti); the Play Console Target Audience form § 3 M7-A5 (nessuna superficie multi-utente nell'app).

5.3 Perché Balance non è una VLOP/VLOSE

La designazione VLOP e VLOSE ai sensi dell'art. 33 del DSA richiede una media di 45 milioni di destinatari attivi mensili nell'Unione e una formale decisione di designazione della Commissione. L'attuale base di utenti di Balance è materialmente al di sotto di tale soglia. Se Balance dovesse mai superare la soglia ed essere formalmente designata, si applicheranno gli obblighi rafforzati della Sezione 5 del Capo III e questa riga sarà rivalutata in una revisione fuori ciclo.

5.4 Obblighi di protezione dei minori del DSA — adempimento volontario al massimo impegno

L'art. 14, par. 3 del DSA richiede che i fornitori di servizi intermediari che potrebbero essere accessibili dai minori includano nei loro termini e condizioni una spiegazione chiara e inequivocabile di eventuali restrizioni imposte per quanto riguarda l'uso del servizio. L'art. 28 del DSA richiede che i fornitori di piattaforme online accessibili ai minori adottino "misure adeguate e proporzionate per garantire un livello elevato di privacy, sicurezza e protezione dei minori sul loro servizio". L'art. 35, par. 1, lett. j) del DSA richiede che le VLOP/VLOSE valutino e mitigano i rischi sistemici per la protezione dei minori nell'ambito della loro valutazione annuale dei rischi.

Anche se Balance non rientra nell'ambito di applicazione come servizio intermediario, piattaforma online o VLOP/VLOSE (ai sensi dei §§ 5.1-5.3), Balance onora volontariamente la sostanza di queste disposizioni:

• I nostri Termini di servizio (Terms of Service) e l'Informativa sulla privacy per i minori (Children's Privacy Notice) forniscono una spiegazione chiara e in linguaggio semplice di ogni restrizione e di ogni decisione di trattamento dei dati.
• La posizione architetturale in Child Safety Standards è l'implementazione operativa di un insieme di misure "adeguate e proporzionate" per garantire un livello elevato di privacy, sicurezza e protezione dei minori.
• La DPIA in our Data Protection Impact Assessment (H8) esegue una valutazione dei rischi sistemici analoga all'art. 35, anche se non è legalmente richiesta a Balance in quanto non-VLOP.

5.5 Se Balance dovesse mai introdurre una superficie rientrante nell'ambito di applicazione

Se Balance dovesse mai introdurre una superficie che la renda rientrante nell'ambito di applicazione come servizio di hosting o piattaforma online — ad esempio, una superficie sociale minore-a-minore o famiglia-a-famiglia, un profilo pubblico, un feed di scoperta o un marketplace — si applicherebbero gli obblighi del DSA e sarebbe richiesto un programma di conformità completo in ambito DSC (notice-and-action, gestione interna dei reclami, reporting sulla trasparenza, cooperazione con i segnalanti affidabili, designazione di un punto di contatto unico, obblighi di dichiarazione delle motivazioni). Il presente Allegato sarebbe immediatamente rivalidato e ripubblicato. La voce di revisione annuale nel § 19 di seguito verifica esplicitamente qualsiasi introduzione di una superficie rientrante nell'ambito di applicazione.

6. Diritti del GDPR — i diritti, le tempistiche e come esercitarli

6.1 Il catalogo dei diritti

Un residente UE/SEE ha i seguenti diritti ai sensi del GDPR.

• Diritto all'informativa (artt. 13-14). Onorato tramite H1 + H2 + il presente Allegato.
• Diritto di accesso (art. 15). Onorato all'indirizzo (o tramite il punto di contatto Prighter su https://app.prighter.com/portal/12736305032) e in-app tramite Impostazioni → Famiglia → [nome minore] → "Esporta i dati di questo minore".
• Diritto di rettifica (art. 16). Onorato in-app e all'indirizzo / punto di contatto Prighter.
• Diritto alla cancellazione ("diritto all'oblio" — art. 17). Onorato tramite Impostazioni → "Elimina il mio account" / "Elimina questo minore"; su Delete-account page; all'indirizzo ; o tramite il punto di contatto Prighter. Cascata ai sensi di Data Retention & Deletion Policy § 7.
• Diritto di limitazione del trattamento (art. 18). Onorato all'indirizzo / punto di contatto Prighter.
• Diritto alla portabilità dei dati (art. 20). L'esportazione dell'art. 15 è in JSON; l'archivio JSON è portabile a qualsiasi altro servizio che accetti JSON.
• Diritto di opposizione (art. 21). Onorato all'indirizzo / punto di contatto Prighter. Balance non effettua trattamenti per finalità di marketing diretto, pertanto il diritto assoluto di opposizione al marketing ai sensi dell'art. 21, par. 2 è soddisfatto in modo vacuo.
• Diritti relativi ai processi decisionali automatizzati e alla profilazione (art. 22). Balance non effettua processi decisionali esclusivamente automatizzati che producano effetti giuridici o che incidano in modo analogo significativamente sugli interessati. Il registro del tempo guadagnato è deterministico ed è rivedibile dal genitore in qualsiasi momento; non costituisce un processo decisionale automatizzato ai sensi dell'art. 22.
• Diritto di revoca del consenso (art. 7, par. 3). Laddove il consenso sia la base giuridica (ad es., l'opt-in di marketing del genitore, se e quando introdurremo mai un canale di marketing — al momento della Data di efficacia non lo abbiamo fatto), la revoca è onorata sugli stessi canali degli altri diritti ed è facile da revocare quanto da concedere.
• Diritto di proporre reclamo a un'autorità di controllo (art. 77 — vedere il § 14 di seguito).
• Diritto a un ricorso giurisdizionale effettivo nei confronti di un titolare o di un responsabile del trattamento (art. 79). Un residente UE/SEE può intentare un'azione contro Balance presso i tribunali dello Stato membro in cui Balance ha uno stabilimento, o in cui l'interessato ha la propria residenza abituale. Poiché Balance non ha alcuno stabilimento nell'UE/SEE, lo Stato membro di residenza abituale è il foro pratico (art. 79, par. 2 del GDPR; norme sulla competenza giurisdizionale per i consumatori del Regolamento Bruxelles I-bis (UE) 1215/2012 laddove l'interessato sia un consumatore).
• Diritto al risarcimento (art. 82). Danni materiali e immateriali.

6.2 Tempistiche

• Finestra standard: un mese dalla ricezione della richiesta (art. 12, par. 3 del GDPR).
• Proroga: due mesi aggiuntivi ove necessario, tenendo conto della complessità e del numero delle richieste; l'interessato è informato della proroga entro un mese, insieme alle motivazioni del ritardo.
• Laddove la richiesta sia manifestamente infondata o eccessiva (in particolare a causa del suo carattere ripetitivo), Balance può addebitare una tariffa ragionevole basata sui costi amministrativi o rifiutarsi di dare seguito alla richiesta; all'interessato viene comunicato il motivo e viene informato del diritto di proporre reclamo a un'autorità di controllo e di ricorrere a un mezzo di tutela giurisdizionale. L'onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta ricade su Balance (art. 12, par. 5).

6.3 Verifica dell'identità

Laddove vi sia un dubbio ragionevole sull'identità della persona fisica che effettua la richiesta, Balance può richiedere informazioni aggiuntive necessarie per confermare l'identità (art. 12, par. 6). Il protocollo di verifica dell'identità utilizza la credenziale di autenticazione esistente del genitore (email + password + la difesa del token di mancata corrispondenza del dispositivo — riferimento incrociato: our internal data-flow map § 2.1, § 2.17). La verifica dell'identità fuori banda (ad es., una copia di un documento di identità rilasciato dal governo) è richiesta solo come ultima risorsa e solo per il genitore, e solo per le categorie di informazioni personali che richiedono una maggiore garanzia di identità.

6.4 Nessun costo

L'esercizio di qualsiasi diritto del GDPR è gratuito (art. 12, par. 5).

6.5 Lingua

Una richiesta può essere presentata in una qualsiasi delle lingue supportate iniziali di cui al § 4 sopra (Inglese, Spagnolo, Francese, Tedesco, Italiano, Olandese); le richieste in altre lingue UE/SEE sono accettate e Balance utilizzerà un servizio di traduzione professionale al massimo impegno per rispondere nella lingua della richiesta. Riferimento incrociato: Privacy Policy § 16.

7. Dati dei minori — Articolo 8 del GDPR + deroghe degli Stati membri

L'art. 8, par. 1 del GDPR fissa l'età predefinita del consenso digitale a 16 anni, ferma restando una deroga degli Stati membri che può abbassarla a qualsiasi età compresa tra 13 e 16 anni. Le deroghe per Stato membro sono tabulate nel § 4 sopra.

Balance non si basa su un percorso di consenso autonomo del minore ai sensi dell'art. 8. Il Consenso Genitoriale Verificabile è ottenuto dal genitore all'onboarding del minore, in ogni Stato membro, indipendentemente dall'età del minore. La deroga dell'art. 8, par. 1 è pertanto solo informativa — informa il genitore della soglia preferita dal legislatore e definisce il testo dell'Informativa sulla privacy per i minori (H2 § 14) nella lingua di ciascuno Stato membro.

L'art. 8, par. 2 del GDPR richiede che il titolare del trattamento si adoperi in modo ragionevole per verificare in tali casi che il consenso sia prestato o autorizzato dal titolare della responsabilità genitoriale sul minore, tenendo considerazione della tecnologia disponibile. Il flusso di creazione dell'account genitore + acquisizione del metodo di pagamento + associazione del minore in-app di Balance è il meccanismo di consenso genitoriale verificabile a tale scopo; il meccanismo è identico al meccanismo VPC descritto in United States annex § 5 ed è documentato in our internal data-flow map § 2.7.

L'art. 6, par. 1, lett. f) del GDPR — la base giuridica del legittimo interesse — è attivato solo per le categorie operative ristrette enumerate in our Data Protection Impact Assessment § 7 (LIA), e mai come base giuridica per il trattamento dei dati personali di un minore; il trattamento lato minore è ancorato al consenso genitoriale dell'art. 6, par. 1, lett. a) e all'esecuzione del contratto che il genitore ha stipulato con Balance ai sensi dell'art. 6, par. 1, lett. b).

8. Trasferimenti internazionali di dati dall'UE/SEE

Il titolare del trattamento (BabaYaga Program, TOO) è stabilito in Kazakistan. Il backend (Emergent Labs Inc.) è ospitato negli Stati Uniti. L'archiviazione dei media probatori (Google Cloud Storage) si trova negli Stati Uniti. I servizi di push (Firebase Cloud Messaging), di accesso (Google Sign-In) e di fatturazione (Google Play Billing) sono gestiti da Google LLC e trasmessi dagli Stati Uniti. Le e-mail transazionali (Resend) sono trasmesse dagli Stati Uniti. Di conseguenza, i dati di ogni residente nell'UE/SEE lasciano l'UE/SEE nel momento in cui vengono caricati sul backend di Balance.

8.1 Meccanismo di trasferimento — l'asse UE-USA (Emergent + Google + Resend)

Il Capo V del GDPR disciplina i trasferimenti internazionali. Balance si basa sul seguente stack per soddisfare il Capo V per l'asse UE-USA:

• Quadro per la Protezione dei Dati UE-USA ("DPF") (decisione di adeguatezza della Commissione Europea del 10 luglio 2023, Decisione di Esecuzione (UE) 2023/1795). Laddove l'importatore negli USA sia autocertificato al DPF, il trasferimento si basa sulla decisione di adeguatezza e non è richiesto alcun livello separato di strumento di trasferimento. Verifichiamo lo stato di autocertificazione DPF di ciascun importatore statunitense su https://www.dataprivacyframework.gov/list al momento dell'onboarding del sub-responsabile del trattamento e in occasione di ogni revisione annuale.
• Clausole Contrattuali Tipo dell'UE ("CCT UE", Decisione di Esecuzione (UE) 2021/914). Per gli importatori statunitensi non autocertificati al DPF, vengono firmate le CCT del Modulo 2 da titolare a responsabile del trattamento. Il pacchetto completo delle CCT si trova in our international-transfer pack.
• Valutazione dell'Impatto del Trasferimento ("TIA"). Le Raccomandazioni 01/2020 del Comitato Europeo per la Protezione dei Dati (EDPB) richiedono che il titolare del trattamento conduca una TIA prima di qualsiasi trasferimento non basato su una decisione di adeguatezza; la TIA è documentata in our international-transfer pack § 6.
• Misure supplementari — e, soprattutto, la crittografia end-to-end dei media probatori documentata in our encryption-posture record. La crittografia E2EE è la principale misura supplementare che respinge la sfida dell'equivalenza essenziale posta dalla sentenza Schrems II (CGUE C-311/18) relativamente all'unico payload dei media probatori: anche se un'autorità statunitense imponesse la produzione dei dati da Emergent Labs, Google o qualsiasi altro sub-responsabile del trattamento statunitense, la produzione produrrebbe solo un ciphertext opaco, non media in chiaro. La misura supplementare è indipendente dal DPF — vale a dire, i media probatori sono crittografati end-to-end indipendentemente dal fatto che l'importatore sia autocertificato al DPF o meno.
• Restrizioni sui trasferimenti successivi — il DPA (Data Processing Agreement) di ogni sub-responsabile del trattamento vieta il trasferimento successivo dei dati dei residenti nell'UE/SEE verso un paese terzo al di fuori del quadro del Capo V del GDPR senza la previa autorizzazione scritta del titolare del trattamento.

8.2 Meccanismo di trasferimento — l'asse UE-KZ (accesso amministrativo del titolare del trattamento)

Il personale del titolare del trattamento in Kazakistan ha accesso amministrativo al backend ospitato negli USA per scopi operativi (risposta agli incidenti, verifica della cancellazione degli account, escalation di supporto). Poiché il Kazakistan è un paese terzo e non è oggetto di una decisione di adeguatezza dell'UE, il tratto del titolare del trattamento nel flusso di dati è coperto dalle CCT UE Modulo 4 (da responsabile a titolare) in senso inverso, trattando Emergent Labs come esportatore di dati e BabaYaga Program, TOO come importatore di dati per quanto riguarda l'accesso operativo. Il regime kazako di protezione dei dati personali (Закон Республики Казахстан "О персональных данных и их защите" № 94-V от 21 мая 2013 года, come emendato) costituisce la sovrapposizione sostanziale; la TIA per il tratto KZ si trova in our international-transfer pack § 7.

8.3 Nessuna sfida dell'equivalenza essenziale Schrems II per i media probatori

Il payload dei media probatori — la foto / video / audio del bambino che prova il completamento di un'attività — non raggiunge mai il backend di Balance o alcun sub-responsabile del trattamento in chiaro. L'architettura è documentata in our encryption-posture record § 2: il file probatorio viene crittografato sul dispositivo del bambino con una chiave di crittografia del file fresca e specifica per file (XChaCha20-Poly1305) wrappata alla chiave pubblica X25519 di ciascun dispositivo genitore autorizzato, prima di qualsiasi chiamata di rete; il ciphertext viene caricato direttamente su Google Cloud Storage tramite un URL firmato V4 di 5 minuti generato dal backend; il backend stesso non vede mai byte in chiaro in alcun momento.

Di conseguenza, la sfida dell'equivalenza essenziale di Schrems II non ha alcuna presa sui media probatori in quanto categoria di dati personali dei residenti nell'UE/SEE trasferiti negli USA: non vi è alcun dato in chiaro da intercettare, nessun dato in chiaro da richiedere ai sensi del 50 U.S.C. § 1881a (s 702 FISA), nessun dato in chiaro soggetto all'Ordine Esecutivo 12333, nessun dato in chiaro soggetto a una National Security Letter, nessun dato in chiaro soggetto al U.S. CLOUD Act. La misura supplementare è pienamente efficace.

Per le categorie di dati residue che sono trasferite in chiaro (l'e-mail del genitore; il nome visualizzato del bambino; gli aggregati deterministici dei log di utilizzo per bambino; i token di autenticazione del genitore), il DPF + le CCT + la TIA + la tabella delle misure tecniche e organizzative in our Records of Processing Activities (Article 30) § 7 soddisfano congiuntamente il Capo V del GDPR.

8.4 Deroghe dell'Articolo 49 — non applicate

Non facciamo affidamento sulle deroghe dell'Articolo 49 (consenso, necessità contrattuale, importanti motivi di interesse pubblico, ecc.) come base per i nostri flussi di dati routinari UE-USA. Le deroghe dell'Articolo 49 sono riservate a trasferimenti non routinari e ad hoc; i flussi di Balance sono routinari, strutturali e richiedono uno strumento di trasferimento del Capo V.

9. Residenza dei dati per i residenti nell'UE/SEE

La decisione di centralizzare su un backend esclusivamente statunitense (piuttosto che dividere l'archiviazione per regione) è documentata in our internal compliance plan § 6 (politica di residenza dei dati). Il pacchetto di trasferimento (our international-transfer pack) è lo strumento sostanziale che rende la politica lecita ai sensi del Capo V del GDPR; la crittografia end-to-end dei media probatori è la principale misura supplementare che rende difendibile la sfida dell'equivalenza essenziale in stile Schrems II per i media probatori.

10. Sub-responsabili del trattamento che trattano dati dei residenti nell'UE/SEE

Ogni sub-responsabile del trattamento è vincolato da un accordo di trattamento dei dati scritto che vieta il trattamento di qualsiasi dato che trasmettiamo per qualsiasi scopo diverso dall'esecuzione del servizio per il quale li abbiamo ingaggiati, e che incorpora i controlli di sicurezza e riservatezza in our Records of Processing Activities (Article 30) § 7. L'elenco completo dei sub-responsabili del trattamento, con lo stato del DPA di ogni riga e la data di verifica dell'autocertificazione DPF, si trova in our sub-processor register.

11. Registro delle attività di trattamento ai sensi dell'Articolo 30

L'Articolo 30 del GDPR richiede che il titolare del trattamento mantenga un registro delle attività di trattamento. Il registro di Balance ai sensi dell'Articolo 30 si trova in our Records of Processing Activities (Article 30) (H7, classificato Interno). Enumera ogni riga di Attività di Trattamento (PA-*) con le categorie di interessati, le categorie di dati personali, le finalità del trattamento, la base giuridica, il periodo di conservazione, i destinatari, i trasferimenti e le misure tecniche e organizzative.

Un'autorità di controllo dell'UE/SEE ha il diritto di richiedere una copia del registro ai sensi dell'Articolo 30 su richiesta (Art. 30(4)); forniremo una copia tempestivamente al ricevimento di una richiesta valida, instradata tramite Prighter in qualità di nostro rappresentante UE.

12. Direttiva ePrivacy — cookie e marketing diretto elettronico

La Direttiva ePrivacy (Direttiva 2002/58/CE, come modificata dalla Direttiva 2009/136/CE) disciplina l'archiviazione di informazioni o l'accesso a informazioni già archiviate nelle apparecchiature terminali di un abbonato o di un utente (Art. 5(3)) e il marketing diretto elettronico (Art. 13). La Direttiva è recepita attraverso la legge nazionale di ciascuno Stato Membro.

12.1 In-app — solo archiviazione strettamente necessaria

L'app Balance (genitore e bambino) non implementa alcuna archiviazione equivalente ai cookie che non sia strettamente necessaria per il servizio. L'archiviazione strettamente necessaria utilizzata da Balance (token di autenticazione in Android SecureStore; il wrap della chiave di pairing del dispositivo; la cache del tempo guadagnato dell'app del bambino) è esente dall'obbligo di consenso di cui all'Art. 5(3) ai sensi dell'esenzione per la stretta necessità (Considerando 66 della Direttiva 2009/136/CE + Linee Guida 02/2023 dell'EDPB sull'ambito tecnico dell'Art. 5(3)).

12.2 Sito pubblico dei documenti legali — nessuna analisi, nessuna pubblicità, nessun tracciamento

Il sito pubblico dei documenti legali (balance.babayagaprogram.com) utilizza solo cookie strettamente necessari; nessun cookie analitico; nessun cookie pubblicitario; nessun tracker di terze parti; nessun fingerprinting; nessun plugin sociale incorporato che imposti lo stato di terze parti. Una breve informativa ai sensi dell'Art. 5(3) è pubblicata nel footer del sito. Il sito è pertanto un sito che richiede un solo clic e non richiede banner per il consenso, secondo l'interpretazione delle Linee Guida 02/2023 dell'EDPB.

12.3 Marketing diretto elettronico — non inviato

Balance non invia marketing diretto elettronico. Le uniche e-mail che Balance invia agli utenti genitori nell'UE/SEE sono transazionali — creazione dell'account, reimpostazione della password, ricevute di abbonamento, avvisi di sicurezza e notifiche di azioni del genitore (ad es., "tuo figlio ha completato un'attività"). L'e-mail transazionale esula dalla definizione di "marketing" dell'Articolo 13. Qualora dovessimo introdurre un canale di marketing, otterremo il consenso opt-in (Art. 13(1)) e forniremo un'opzione di annullamento dell'iscrizione in ogni messaggio; soddisferemo inoltre il recepimento specifico di ciascuno Stato Membro (ad es., le linee guida della CNIL in Francia; l'UWG § 7 in Germania).

13. Notifica di violazione — Articoli 33/34 del GDPR

L'SLA interno per la decisione sulla violazione si trova in our breach-notification runbook § 5.4 + § 9.1: classificazione preliminare entro un giorno lavorativo, valutazione più completa entro sette giorni, notifica all'autorità di controllo entro il termine statutario di 72 ore, notifica agli interessati colpiti secondo il fattore scatenante dell'Art. 34.

14. Percorsi di reclamo (sommario)

Un residente nell'UE/SEE che non sia soddisfatto della gestione di Balance di una richiesta sulla privacy o di un problema relativo alla sicurezza dei minori può presentare un reclamo a una delle seguenti autorità. Il percorso di prima istanza è l'Autorità Garante per la protezione dei dati personali (DPA) dello Stato Membro di residenza del residente (di cui al § 4 sopra); gli altri percorsi sono disponibili come fori alternativi o supplementari.

Un residente nell'UE/SEE può sempre sollevare in primo luogo la questione con noi all'indirizzo (DSAR; persona nominata: ) o tramite il portale di accoglienza UE di Prighter su https://app.prighter.com/portal/12736305032. Risponderemo entro i termini dell'Art. 12(3) del GDPR di cui al § 6.2 sopra. Sollevare la questione con noi in primo luogo non è un prerequisito per presentare un reclamo a un'autorità di controllo; ogni DPA degli Stati Membri accetta reclami direttamente (Art. 77(1) del GDPR).

15. Percorsi di segnalazione CSAE — UE/SEE

Un residente nell'UE/SEE (genitore, bambino o terza parte) che desidera segnalare un problema CSAE relativo a Balance, a una terza parte incontrata al di fuori di Balance o a un utente di Balance, può utilizzare uno dei seguenti percorsi:

• Responsabile Designato per la Sicurezza dei Minori di Balance: (persona nominata: ). Conferma di ricezione entro un giorno lavorativo. Riferimento incrociato: Child Safety Standards § 2; the Play Console Child Safety Standards declaration § 3 M6-Q3.
• Linea diretta nazionale INHOPE dello Stato Membro del residente — INHOPE è l'associazione internazionale delle linee dirette internet; ogni Stato Membro dell'UE/SEE ha un membro nazionale INHOPE (ad es., Point de Contact in Francia; Internet-beschwerdestelle in Germania; STOP IT NOW! nei Paesi Bassi; INFOBALT per la Lituania; Telefono Arcobaleno in Italia; CIBERMÉDICO per alcuni contesti di lingua spagnola; ecc.). L'elenco completo di INHOPE si trova su https://www.inhope.org/EN/our-members. La segnalazione può essere anonima.
• Autorità di contrasto dello Stato Membro — ogni Stato Membro ha una forza di polizia nazionale con un'unità per la criminalità informatica (ad es., l'EC3 di Europol su https://www.europol.europa.eu/about-europol/european-cybercrime-centre-ec3 per il coordinamento transfrontaliero; OCLCTIC in Francia; BKA Cybercrime in Germania; CNAIPIC in Italia; ecc.).
• Europol per segnalazioni transfrontaliere o che coinvolgono più Stati Membri: https://www.europol.europa.eu/report-a-crime/report-cybercrime-online.
• EU INHOPE / Centro Europeo per i Bambini Scomparsi "Missing Children Europe" come coordinatore della linea diretta a livello UE: https://missingchildreneurope.eu/.

La tabella completa di instradamento per paese CSAE si trova in Child Safety Standards § 8.6.

16. Diritti dei consumatori — la sovrapposizione dell'acquis consumeristico UE

Laddove il genitore agisca in qualità di "consumatore" ai sensi dell'Art. 2(1) della Direttiva 2011/83/UE — vale a dire, qualsiasi persona fisica che agisca per scopi estranei all'attività commerciale, imprenditoriale, artigianale o professionale del genitore — le seguenti sovrapposizioni dell'acquis consumeristico si applicano al flusso di acquisto dell'abbonamento e ai Termini di Servizio.

16.1 Informazioni precontrattuali e diritto di recesso di 14 giorni

L'Art. 6 della Direttiva 2011/83/UE richiede che al genitore siano fornite informazioni precontrattuali obbligatorie prima della conclusione di un contratto a distanza. Gli Artt. 9-14 della Direttiva 2011/83/UE concedono al genitore un diritto di recesso di 14 giorni dal contratto, calcolato dal giorno in cui il contratto è concluso per un contratto di servizi, o dal giorno in cui il genitore acquisisce il possesso fisico dei beni per un contratto di beni.

L'abbonamento di Balance è un servizio digitale. Laddove il genitore acconsenta espressamente al momento dell'abbonamento all'esecuzione immediata del contratto, e riconosca che tale consenso comporta la perdita del diritto di recesso una volta che il contratto sia stato interamente eseguito (Art. 16(m) della Direttiva sui Diritti dei Consumatori), il diritto di recesso viene meno per il periodo successivo all'inizio dell'esecuzione immediata. Il passaggio del consenso espresso + riconoscimento è implementato nella schermata di acquisto dell'abbonamento ed è documentato in Subscription Terms § 20.

16.2 Clausole contrattuali abusive

La Direttiva 93/13/CEE richiede che le clausole contrattuali che non sono state oggetto di negoziazione individuale non siano vincolanti per il consumatore se, in contrasto con il requisito della buona fede, determinano un significativo squilibrio dei diritti e degli obblighi delle parti derivanti dal contratto, a danno del consumatore. L'elenco non esaustivo nell'Allegato alla Direttiva è osservato nella redazione di Terms of Service.

16.3 Contenuti e servizi digitali — Direttiva (UE) 2019/770

La Direttiva (UE) 2019/770 richiede che i contenuti digitali e i servizi digitali forniti ai consumatori siano forniti in conformità al contratto, che il fornitore rimedi a qualsiasi mancanza di conformità e che il fornitore fornisca gli aggiornamenti necessari per mantenere la conformità per il periodo ragionevolmente previsto. Trattamento in Subscription Terms.

16.4 Direttiva sulle Pratiche Commerciali Sleali

La Direttiva 2005/29/CE vieta le pratiche commerciali sleali nelle transazioni tra imprese e consumatori. Ogni dichiarazione pubblica di Balance è verificata rispetto al protocollo di controllo della verità descritto in our internal compliance tracker e nel protocollo editoriale che regola ogni nuova bozza. Nessuna pratica commerciale ingannevole è condotta da Balance.

17. Riferimenti incrociati

• Informativa sulla Privacy Globale: Privacy Policy (H1).
• Informativa sulla Privacy per i Minori: Children's Privacy Notice (H2).
• Termini di Servizio: Terms of Service (H3).
• Termini di Abbonamento: Subscription Terms (H4).
• Standard di Sicurezza dei Minori: Child Safety Standards (H5).
• Politica di Conservazione: Data Retention & Deletion Policy (H6).
• Registri delle Attività di Trattamento: our Records of Processing Activities (Article 30) (H7).
• DPIA + LIA: our Data Protection Impact Assessment (H8).
• Runbook per le Violazioni: our breach-notification runbook (M1).
• Pacchetto di Trasferimento: our international-transfer pack (M2) — CCT UE + DPF UE-USA + TIA agli atti.
• Informativa sui Permessi JIT: the just-in-time permission disclosures (M3).
• Dichiarazioni sui Permessi della Play Console: the Play Console permission declarations (M4).
• Sicurezza dei Dati della Play Console: the Play Console Data Safety form (M5).
• Dichiarazione sugli Standard di Sicurezza dei Minori della Play Console: the Play Console Child Safety Standards declaration (M6).
• Pubblico di Destinazione + IARC della Play Console: the Play Console Target Audience form (M7).
• Allegato Paese USA: United States annex (A-US).
• Allegato Paese UK: United Kingdom annex (A-UK).
• Classificazione dell'App: our country classification table.
• Elenco dei Sub-responsabili del trattamento: our sub-processor register.
• Registro dei Permessi Android: our permissions register.
• Postura di Crittografia: our encryption-posture record.
• Mappa del Flusso dei Dati / Inventario: our internal data-flow map.
• Tracker dei Segnaposto della Fase 2: our internal compliance tracker.
• Piano di Conformità: our internal compliance plan.

18. Controllo delle versioni e revisione

Il presente Allegato segue lo stesso rigoroso protocollo di controllo delle versioni del resto del pacchetto della Fase 1:

• Ogni modifica a una riga sostanziale nei §§ 2–16 aggiorna la data Ultimo aggiornamento in cima a questo file e attiva una nuova pubblicazione su Privacy Policy e Children's Privacy Notice.
• Una modifica sostanziale al GDPR attiva un aggiornamento fuori ciclo al § 2 + § 6 + § 13.
• Una nuova decisione vincolante dell'EDPB ai sensi dell'Art. 65 del GDPR che influisce materialmente su Balance attiva un aggiornamento fuori ciclo al § 2, § 3 e alle relative sezioni operative.
• Una nuova deroga dello Stato Membro ai sensi dell'Art. 8(1) del GDPR attiva un aggiornamento fuori ciclo al § 4.
• Una sentenza della CGUE che influisce materialmente sulla validità del DPF UE-USA o delle CCT UE attiva un aggiornamento fuori ciclo al § 8 + § 10.
• Un atto di esecuzione del DSA o una linea guida della Commissione che ridefinisce l'ambito delle definizioni di "servizio di hosting" / "piattaforma online" attiva un aggiornamento fuori ciclo al § 5.
• Un Regolamento ePrivacy (che sostituisce la Direttiva) attiva un aggiornamento fuori ciclo al § 12 + una piena rivalidazione del comportamento dei cookie in-app e sul sito web.
• Una modifica al mandato UE di Prighter attiva un aggiornamento fuori ciclo al § 3.2 + il tracker dei segnaposto su our internal compliance tracker.
• Una modifica sostanziale allo stato di autocertificazione DPF di un sub-responsabile del trattamento attiva un aggiornamento fuori ciclo al § 8 + § 10 + our sub-processor register.
• La revisione annuale avviene entro il 9 giugno. Il Responsabile della Privacy firma la revisione; il Responsabile Designato per la Sicurezza dei Minori cofirma qualsiasi modifica al § 5 (DSA) o al § 15 (percorsi CSAE).
• Il presente Allegato è ripubblicato insieme a H1 e H2 sul sito pubblico dei documenti legali (Privacy Policy e Children's Privacy Notice) ed è incorporato per riferimento.

Fine dell'Allegato Paese dell'Unione Europea e dello Spazio Economico Europeo.