1. Scopo e descrizione del trattamento

   1. Lo scopo di questo DPA è garantire il rispetto dell'Articolo 28, paragrafi 3 e 4, del GDPR.

   2. Il trattamento oggetto di questo accordo consiste nella fornitura del SaaS in modalità di prova, da effettuare al fine di fornire il servizio e, specificamente, al fine di:

      1. implementare la versione di prova del SaaS sui sistemi del Cliente,

      2. eseguire attività di test e analisi relative all'attività di testing,

      3. gestire l'infrastruttura IT del SaaS, gli account utente e la sicurezza.

   3. I soggetti interessati sono le persone a cui i dati personali inseriti nel SaaS dal Cliente si riferiscono.

   4. Le categorie di dati personali trattati sono quelle determinate dal Cliente attraverso l'inserimento nel SaaS.

   5. Il trattamento dura per lo stesso periodo dell'Accordo, fatta eccezione per le attività di trattamento tecnicamente necessarie per garantire la corretta cancellazione o restituzione dei dati, nonché la gestione di copie di backup e altre attività relative alla sicurezza e all'amministrazione ordinaria del SaaS. Se l'accordo finale viene firmato, si applicheranno le clausole per il trattamento dei dati personali ivi contenute, e questo DPA cesserà di avere efficacia.

      
      

2. Obblighi del Titolare

   1. Il Titolare del trattamento si impegna a rispettare la legislazione applicabile, e a trattare i dati in conformità con qualsiasi altra disposizione legale applicabile che ha o potrebbe avere effetti vincolanti sui metodi e sulle garanzie da applicare al trattamento dei dati personali.

   2. Il Titolare del trattamento si impegna a verificare i metodi di trattamento dei dati meglio adatti per svolgere le attività di test, avendo cura di garantire il rispetto del principio di minimizzazione dei dati personali, prevedendo, ove possibile, l'utilizzo di dati sintetici, pseudonimi o, in ogni caso, informazioni specificamente identificate per le attività di test.

   3. Il Titolare del trattamento si impegna a verificare e dimostrare che i dati inseriti nel SaaS siano raccolti e trattati su una base legale appropriata, nonché in conformità a qualsiasi altro obbligo di trasparenza imposto dalla Legge Applicabile.

   4. Il Titolare del trattamento si impegna a trattare i dati personali in conformità con il principio di legalità e, in particolare, a garantire che siano rispettate le disposizioni applicabili della legge sul lavoro.

   5. In nessun caso il Titolare del trattamento sarà ritenuto responsabile per qualsiasi violazione delle Normative Applicabili risultante dalla condotta del Titolare del trattamento o dall'applicazione delle Istruzioni fornite dal Titolare del trattamento.

   6. Il Titolare del trattamento è responsabile della dimostrazione del rispetto della legislazione applicabile e degli obblighi di settore correlati.

   7. In ogni caso, gli obblighi del Responsabile del trattamento non comprendono la determinazione della liceità delle attività di trattamento dei dati svolte per conto del Titolare del trattamento, né qualsiasi verifica della conformità del trattamento effettuato tramite il SaaS con la legislazione applicabile.

      
      

3. Obblighi del Titolare del Dato

   1. Il Titolare tratta i dati personali esclusivamente per le finalità e secondo i metodi descritti nell'Articolo 1 di questo DPA, salvo che sia richiesto dalla normativa unionale o nazionale a cui è soggetto il Titolare.

   2. Il Responsabile del trattamento dovrà immediatamente informare il Titolare se i metodi di trattamento determinati dal Titolare violano la Legge Applicabile.

   3. Il Responsabile del trattamento mantiene e aggiorna il Registro delle Attività di Trattamento ai sensi dell'Art. 30(2) GDPR, con particolare riferimento alle attività svolte per conto del Titolare del trattamento.

      
      

4. Assistenza del Titolare

   1. Il Responsabile del trattamento fornisce un'assistenza ragionevole al Titolare nel carry out delle valutazioni di impatto sulla protezione dei dati e nelle consultazioni preliminari con le Autorità di Vigilanza o altre autorità competenti in materia di protezione dei dati, ove necessario per consentire al Titolare di rispettare gli Articoli 35 e 36 del GDPR.

   2. Le Parti concordano che eventuali ispezioni del Titolare verranno effettuate solo in forma cartacea, senza che il Titolare possa accedere ai locali del Titolare.

   3. La richiesta di assistenza deve contenere un'indicazione delle attività di trattamento e degli obblighi in fase di verifica.

      
      

5. Richieste da Parte degli Interessati

   1. Nel caso in cui il Responsabile del trattamento riceva richieste relative ai diritti degli Interessati, è tenuto a comunicare tali richieste al Titolare del trattamento, allegando una copia alla comunicazione.

   2. Il Responsabile del trattamento si impegna ad assistere il Titolare del trattamento attuando misure tecniche e organizzative appropriate per rispondere alle richieste degli Interessati.

      
      

6. Sicurezza dei dati

   1. Il Titolare attua le misure tecniche e organizzative specificate nell'Allegato "Elenco delle Misure di Sicurezza" per garantire la sicurezza dei dati personali.

   2. Nel valutare il livello di sicurezza appropriato, le Parti terranno debito conto dello stato dell'arte, dei costi di attuazione, nonché della natura, dell'ambito, del contesto e delle finalità del trattamento, oltre ai rischi per gli Interessati.

      
      

7. Persone in carico del trattamento

   1. Il Titolare concede accesso ai dati personali in trattamento ai membri del proprio personale solo nella misura strettamente necessaria per l'implementazione, gestione e supervisione delle operazioni di trattamento coperte da questo DPA.

   2. Il Titolare del trattamento garantisce che le persone autorizzate a trattare i dati personali ricevuti abbiano assunto impegni di riservatezza o siano soggette a un obbligo legale di riservatezza e abbiano ricevuto l'autorizzazione appropriata per trattare i dati personali.

      
      

8. Sub-responsabili

   1. Il Responsabile del trattamento ha l'autorizzazione generale del Titolare del trattamento per utilizzare i Sub-responsabili elencati nell'Allegato "Elenco dei Sub-responsabili".

   2. In ogni caso, il Titolare del trattamento si impegna ad impegnare Sub-responsabili che presentano garanzie sufficienti per garantire un livello adeguato di protezione dei dati personali e a firmare un accordo scritto con ciascun Sub-responsabile che impone al Sub-responsabile, sostanzialmente, gli stessi obblighi a cui è soggetto il Titolare del trattamento nei confronti del Titolare del trattamento.

      
      

9. Violazione dei dati personali

   1. In caso di una violazione della sicurezza che possa impattare i dati personali trattati dal Responsabile del trattamento per conto del Titolare del trattamento, il Responsabile del trattamento si impegna a notificare l'incidente entro 48 ore dalla sua scoperta.

   2. La notifica contiene informazioni riassuntive utili per il Titolare del trattamento per adempiere agli obblighi previsti dagli Articoli 33 e 34 del GDPR, includendo almeno una descrizione della violazione, comprese la natura e l'estensione dei dati violati.

   3. In attesa delle indagini tecniche necessarie per determinare le caratteristiche e l'estensione della violazione, il Titolare del trattamento ha il diritto di fornire una notifica parziale dell'incidente. Al termine di queste indagini tecniche, il Titolare del trattamento deve fornire al Titolare del trattamento una notifica supplementare.

   4. Il Titolare del trattamento deve notificare al Responsabile del trattamento eventuali violazioni della sicurezza, incluse quelle non riguardanti dati personali, che possano compromettere la sicurezza dell'infrastruttura SaaS, come, ma non solo, la perdita di controllo delle credenziali assegnate agli utenti.

      
      

10. Trasferimento di dati al di fuori dello Spazio Economico Europeo

    1. Qualsiasi trasferimento di dati a un paese terzo o a un'organizzazione internazionale da parte del Titolare deve essere effettuato in conformità con il Capitolo V del GDPR.

       
       

11. Durata e cessazione

    1. Il termine del DPA è efficace dalla data di firma dell'Accordo e si applica finché i dati personali sono trattati dal Responsabile del trattamento per conto del Titolare.

    2. Alla cessazione, per qualsiasi motivo, di questo DPA, il Responsabile del trattamento sarà tenuto, salvo istruzioni diverse fornite per iscritto dal Titolare del trattamento, a:

       a) cessare tutte le attività di trattamento che coinvolgono dati personali;

       b) anonimizzare i dati personali in suo possesso mediante la cancellazione non reversibile delle righe del database associate agli Interessati.

       
       

12. Disposizioni finali

    1. L'esecuzione delle attività di cui al presente DPA non dà diritto al Responsabile del trattamento, né a alcun Sub-responsabile, di ricevere compensi diversi da quelli contrattualmente concordati tra le Parti nell'Accordo.

    2. In caso di conflitto tra questo DPA e l'Accordo, il DPA prevale rispetto alle questioni relative al trattamento dei dati personali.

    3. Per tutto ciò che non è espressamente previsto nel presente DPA, si prega di fare riferimento alla normativa sulla protezione dei dati applicabile.

    4. Se una qualsiasi disposizione di questo DPA viene ritenuta invalida o inapplicabile, le restanti disposizioni rimarranno in vigore. La disposizione invalida o inapplicabile sarà (i) modificata nella misura necessaria per garantirne la validità e l'applicabilità, preservando per quanto possibile le intenzioni originali delle Parti, o, se ciò non fosse possibile, (ii) interpretata come se non fosse mai stata inclusa nel corpo dell'Accordo.

13. Legge applicabile e foro competente

Le Parti sottopongono questo DPA alla legge e alla giurisdizione scelte nell'Accordo. Pertanto, eventuali controversie o rivendicazioni derivanti da questo DPA, comprese le controversie relative alla sua esistenza, validità o cessazione o alle conseguenze della sua invalidità, saranno soggette al forum scelto nell'Accordo.