Definizioni 

1. Nel presente DPA, i termini infra indicati hanno il significato attribuito loro a seguire. Per tutto quanto non espressamente definito ai sensi del presente articolo si rimanda alle definizioni di cui all’art. 4 del GDPR.

2. Con il termine “Normativa applicabile” si intende il GDPR, il d. lgs. 196/2003 e qualsiasi altra legge in materia di protezione dei dati di volta in volta applicabile al trattamento dei dati personali;

3. Con il termine “Incaricati del Trattamento” si intendono i dipendenti, gli incaricati o qualsiasi altra persona fisica autorizzata dalle Parti a svolgere operazioni di trattamento dei dati personali ai sensi dell’art. 29 del GDPR e dell’art. 2-quaterdecies del d. lgs. 196/2003;

4. Con il termine “Sub-Responsabile” si intende qualsiasi entità cui il responsabile del trattamento ricorre per l’esecuzione di specifiche attività svolte per conto del Titolare o da un altro soggetto da questi incaricato;

5. con il termine “SEE” si intende lo Spazio Economico Europeo.

Scopo e ambito di applicazione

1. Lo scopo del presente DPA è garantire il rispetto dell'articolo 28, paragrafi 3 e 4, del regolamento GDPR.

2. Il presente DPA si applica ai trattamenti elencati e descritti nell’Allegato “Descrizione del trattamento e istruzioni” (Allegato C-bis)]. Le Parti riconoscono che il SaaS ha natura modulare e che, pertanto, il trattamento dei dati personali effettuato dal Responsabile è quello indicato:

   1. nella Parte 1 dell’Allegato “Descrizione del trattamento e istruzioni”;

   2. nella Parte 2 dell’Allegato “Descrizione del trattamento e istruzioni”, relativamente ai moduli oggetto dell’Offerta Commerciale. 

Obblighi del Titolare

1. Il Titolare si impegna a rispettare la Normativa applicabile, nonché a trattare i dati in conformità a qualsiasi altra disposizione di legge applicabile che abbia o possa avere effetti di natura obbligatoria circa le modalità e le garanzie da applicare al trattamento di dati personali. 

2. Il titolare impartisce al Responsabile istruzioni circa la modalità di trattamento dei dati personali (le “Istruzioni”) inseriti all’interno del SaaS, verificando che queste siano conformi alla Normativa in materia di Protezione dei Dati. Le Istruzioni del Titolare alla data di sottoscrizione del presente DPA sono descritte nell’Allegato C-bis.

3. Il Titolare del trattamento può impartire nuove istruzioni per tutta la durata del trattamento, dandone notizia al Responsabile per iscritto almeno 15 giorni prima della data di effettiva applicazione delle stesse. Tali nuove istruzioni sono documentate per iscritto. Il Responsabile ha diritto di risolvere l’Accordo ai sensi dell’art. 1456 c.c. nel caso in cui tali nuove Istruzioni comportino un onere eccessivo o siano ritenute dal Responsabile in contrasto con la Normativa Applicabile.

4. Il Responsabile può, per quanto attiene alle caratteristiche del trattamento dei dati personali intrinsecamente legate al funzionamento di Compri, apportare modifiche all’Allegato C-bis, dandone comunicazione al Titolare con un preavviso di almeno 5 giorni. 

5. In nessun caso, è imputabile al Responsabile la violazione della Normativa Applicabile derivante da un comportamento del Titolare, nonché dall’applicazione delle Istruzioni da esso impartite.

6. Il Titolare si impegna a verificare e dimostrare che i dati inseriti all’interno del SaaS siano raccolti e trattati sulla base di un’idonea base giuridica, nonché nel rispetto di ogni altro obbligo imposto dalla Normativa Applicabile in termini di trasparenza. 

7. Il Titolare si impegna a identificare, per ogni categoria di dati personali trattata all’interno del SaaS, i relativi periodi di conservazione e a rimuovere dal SaaS le informazioni al decorrere di tale termine.

8. In ogni caso non rientra tra gli obblighi a carico del Responsabile la determinazione dei presupposti di liceità delle attività di trattamento dei dati svolte per conto del Titolare, nonché qualsivoglia verifica circa la conformità dei trattamenti svolti tramite il SaaS alla Normativa applicabile.

Obblighi del Responsabile

1. Il Responsabile tratta i dati personali in conformità alle Istruzioni del Titolare, salvo che lo richieda il diritto dell'Unione o nazionale cui è soggetto il Responsabile. Il Responsabile tratta i dati personali unicamente per le finalità specifiche di cui all’Allegato C-bis, nonché per il periodo di tempo ivi indicato.

2. Senza pregiudizio delle disposizioni di cui all’art. 3.7. del presente DPA, il Responsabile informa immediatamente il Titolare del trattamento qualora, a suo parere, le Istruzioni violino la Normativa Applicabile 

3. Il Responsabile tiene e aggiorna il Registro delle Attività di trattamento di cui all’art. 30(2) GDPR, con speciale riferimento alle attività svolte per conto del Titolare. Il Responsabile, su richiesta del Titolare, mette a disposizione una copia delle sezioni del suddetto registro riguardanti il trattamento svolto per conto del Titolare. 

4. Il Responsabile informa il Titolare senza ingiustificato ritardo circa l’obbligo di consultazione e/o acquisizione dei dati personali del Titolare imposto da un’Autorità pubblica, salvo vincoli diversi da parte della suddetta Autorità dovuti a segreto investigativo. 

Assistenza al Titolare

1. Il Responsabile del trattamento risponde prontamente e adeguatamente alle richieste di informazioni del titolare del trattamento relative al trattamento dei dati oggetto del presente DPA e mette a disposizione del Titolare la documentazione idonea a comprovare il rispetto del presente DPA e della Normativa applicabile. 

2. Il Responsabile può adempiere all’obbligo di cui al precedente articolo 5.1. mettendo a disposizione materiale informativo e documentazione utile all’interno di pagine web dedicate e/o dell’area personale disponibile nell’interfaccia del SaaS. 

3. Il Responsabile offre ragionevole assistenza al Titolare nell’esecuzione delle valutazioni d’impatto sulla protezione dei dati e nelle consultazioni preventive con le Autorità di controllo o altre autorità competenti in materia di protezione dei dati personali, che si rendano necessarie affinché il Titolare sia conforme agli articoli 35 e 36 del GDPR. 

4. Il Responsabile acconsente a che il Titolare o un auditor incaricato dal Titolare svolga degli audit, incluse ispezioni, in relazione al Trattamento dei dati personali effettuato dal Responsabile, a condizione che al Responsabile venga dato un preavviso ragionevole di almeno 2 mesi. 

5. La richiesta di audit deve contenere l’indicazione delle attività di trattamento e degli obblighi oggetto di verifica, nonché indicare le ragioni per cui l’attività di verifica non possa essere svolta su base documentale.

Istanze dei Soggetti Interessati

1. Nel caso in cui il Responsabile sia destinatario di richieste sui diritti dei Soggetti Interessati, lo stesso ha l’obbligo di comunicare tali richieste al Titolare, allegando copia alla comunicazione.

2. Il Responsabile si impegna ad assistere il Titolare attuando misure tecniche e organizzative adeguate al fine di dare seguito alle richieste dei Soggetti Interessati.

3. Il Responsabile da seguito alle richieste di esercizio dei diritti attenendosi alle istruzioni specificatamente impartite dal Titolare per iscritto.

Sicurezza dei dati

1. Il Responsabile mette in atto almeno le misure tecniche e organizzative specificate all’Allegato “Elenco delle misure di sicurezza” (“Allegato C-ter”) per garantire la sicurezza dei dati personali. Ciò include la protezione da ogni violazione di sicurezza che comporti accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati, che possa costituire una violazione dei dati personali ai sensi dell’art. 33 del GDPR

2. Il Responsabile ha facoltà di apportare modifiche all’Allegato C-ter, dandone comunicazione al Titolare con un anticipo di almeno 5 giorni. Resta fermo l’obbligo del Titolare di mantenere un adeguato livello di sicurezza e protezione dei dati personali.

3. Nel valutare l'adeguato livello di sicurezza, le Parti tengono debitamente conto dello stato dell'arte, dei costi di attuazione, nonché della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi per gli Interessati. 

Soggetti incaricati del trattamento

1. Il Responsabile concede l'accesso ai dati personali oggetto di trattamento ai membri del suo personale soltanto nella misura strettamente necessaria per l'attuazione, la gestione e il controllo dei trattamenti oggetto del presente DPA. 

2. Il Responsabile garantisce che le persone autorizzate al trattamento dei dati personali ricevuti:

   1. si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza;

   2. abbiano ricevuto idonea autorizzazione al trattamento dei dati personali. 

Sub-responsabili

1. Il Responsabile ha l’autorizzazione generale del Titolare a ricorrere ai Sub-responsabili di cui all’Allegato “Elenco dei sub-responsabili del trattamento” (“Allegato C-quater”). 

2. Il Responsabile ha diritto di modificare all’Allegato C-quater in modo unilaterale. In tal caso, il Responsabile informa il Titolare delle modifiche con un anticipo di almeno 5 giorni, dando così al Titolare tempo sufficiente per poter opporsi a tali modifiche prima del ricorso al o ai Sub-Responsabili del trattamento in questione.

3. In ogni caso, il Responsabile si impegna a ingaggiare Sub-Responsabili che presentino garanzie sufficienti a garantire un adeguato livello di protezione dei dati personali e a sottoscrivere con ciascun Sub-Responsabile un accordo scritto che imponga al Sub-Responsabile, in sostanza, gli stessi obblighi cui il Responsabile è tenuto nei confronti del Titolare.

Violazione dei dati personali

1. In caso di una violazione della sicurezza che possa avere impatti sui dati personali, trattati dal Responsabile per conto del Titolare, il Responsabile si impegna a notificare l’episodio entro 48h dalla sua scoperta. 

2. La notifica contiene le informazioni sommarie, utili al Titolare per adempiere agli obblighi di cui agli articoli 33 e 34 del GDPR, tra cui almeno una descrizione della violazione che comprenda l’indicazione della natura dei dati violati e della loro entità.

3. Nella pendenza degli accertamenti tecnici necessari per determinare le caratteristiche e l’entità della violazione, il Responsabile ha diritto di effettuare una notifica parziale dell’incidente. Al termine di tali accertamenti tecnici, il Responsabile dovrà rendere al Titolare una notifica integrativa.

4. Il Titolare notifica al Responsabile eventuali violazioni della sicurezza, anche non riguardanti dati personali, che possano compromettere la sicurezza dell’infrastruttura del SaaS, quali, a titolo meramente esemplificativo, la perdita di controllo sulle credenziali assegnate agli utenti.

Trasferimento di dati oltre lo Spazio Economico Europeo

1. Qualunque trasferimento di dati verso un paese terzo o un'organizzazione internazionale da parte del Responsabile è effettuato nel rispetto del capo V del GDPR.

Durata e cessazione

1. La durata del DPA ha efficacia dalla data di sottoscrizione dell’Accordo e si applica fin tanto che sono in essere trattamenti di dati personali svolti dal Responsabile per conto del Titolare.

2. All’atto della cessazione, per qualsiasi causa, del presente DPA, il Responsabile sarà tenuto, salvo diverse istruzioni scritte da parte del Titolare, alternativamente a:

   1. cessare ogni attività di trattamento aventi ad oggetto i dati personali; 

   2. anonimizzare i dati personali in suo possesso tramite cancellazione non reversibile delle righe di database associate ai Soggetti Interessati.

3. Le Parti riconoscono e accettano che oltre il termine di cessazione dell’Accordo avranno comunque luogo i trattamenti di dati personali necessari per finalità strettamente tecniche quali, a titolo meramente esemplificativo, l’espletamento delle operazioni di cancellazione dei dati personali, la gestione delle copie di back-up o l’adempimento di obblighi di legge o regolamento. 

Disposizioni Finali

1. L’esecuzione delle attività di cui al presente DPA non originano alcun diritto in capo al Responsabile, ovvero all’eventuale Sub-Responsabile, a percepire compensi ulteriori rispetto a quanto contrattualmente convenuto tra le Parti nell’Accordo. 

2. In caso di conflitto tra il presente DPA e l’Accordo, il primo prevale per le questioni attinenti al trattamento dei dati personali. 

3. Per tutto quanto non espressamente previsto nel presente DPA, si rinvia alla Normativa in materia di Protezione applicabile.

4. L’eventuale invalidità o inapplicabilità di una disposizione del presente DPA non incide sulle disposizioni restanti, che rimangono pienamente valide e vigenti. La disposizione invalida o inapplicabile viene (i) modificata nella misura necessaria ad assicurarne la validità e applicabilità, preservando per quanto possibile le intenzioni originarie delle Parti o, se ciò non fosse possibile, (ii) interpretata come se non fosse mai stata inserita nel corpo contrattuale.

5. Il Responsabile ha facoltà di espungere dalla documentazione e dalle informazioni fornite a seguito di richieste rivolte dal Titolare ai sensi degli articoli di questo 5, 6, 7, 8, 9, 10 del presente DPA, quelle informazioni la cui rivelazione potrebbe comportare, anche astrattamente, una violazione degli obblighi in materia di protezione dei dati personali cui è sottoposto il Responsabile o la divulgazione di informazioni sottoposte segreto industriale o comunque suscettibili di ledere in know-how aziendale del Responsabile.

Legge Regolatrice e Foro Competente

1. Le Parti assoggettano il presente Contratto di Nomina alla legge e alla giurisdizione scelte nell’Accordo. Pertanto, eventuali controversie o pretese che dovessero sorgere ai termini del presente Contratto di Nomina, incluse controversie relative alla sua esistenza, validità o cessazione o alle conseguenze della sua nullità, sono soggette al foro scelto nell’Accordo