ADDENDUM TITOLARE DEL TRATTAMENTO
NOMINA DEL RESPONSABILE DEL TRATTAMENTO
L’Utente (di seguito “Titolare” o “Cliente” o “Titolare”), mediante espresso accettazione dei Termini e Condizioni di “Easyreview” (di seguito “Fornitore” o “Responsabile del Trattamento”), accetta il presente addendum sul trattamento dei dati personali, che costituisce parte integrante del rapporto tra le Parti. Il presente Addendum è sottoscritto ai sensi dell’art. 28 del Regolamento 679/2016 e disciplina le modalità con cui il Responsabile del trattamento tratterà i dati personali per conto del Titolare del trattamento. Titolare e Responsabile del trattamento, possono essere indicati anche singolarmente come la “Parte” e congiuntamente come le “Parti”.
– I trattamenti dei dati personali effettuati dal Titolare sono elencati nel registro dei trattamenti tenuto dal Titolare;
– Per alcune operazioni di trattamento il Titolare si avvale della collaborazione del Fornitore;
– Il Fornitore, nell’ambito dei servizi offerti al Titolare, come meglio dettagliato nello specifico contratto in essere, potrà effettuare trattamenti di dati personali per conto del Titolare;
– Il Titolare e il Fornitore hanno sottoscritto un accordo per la disposizione su web e tablet per la creazione, gestione e invio di richieste di recensione (“Servizio”), di cui il presente documento è parte integrante;
– Con riferimento al Servizio messo a disposizione dal Fornitore, quest’ultimo potrà trattare dati personali di proprietà del Titolare e, più precisamente, dati comuni (nome, cognome, recapiti) dei clienti finali del Titolare;
– La finalità del trattamento è fornire una soluzione tecnologica che consenta al Titolare di poter usufruire del Servizio;
– Ai sensi dell’articolo 28.1 del Regolamento (UE) 2016/679, Regolamento generale sulla protezione dei dati (d’ora in poi “GDPR”), “qualora sia necessario effettuare un trattamento per conto del Titolare del trattamento, quest’ultimo utilizzerà esclusivamente i dati controllori”.
-il Titolare ha verificato che il Fornitore, sempre ai sensi dell’art. 28.1 del GDPR, presenti “garanzie sufficienti per porre in essere misure tecniche e organizzative adeguate affinché il trattamento risponda ai requisiti del Regolamento e assicuri la tutela dei diritti dell’interessato”.
Il Titolare nomina il Fornitore quale “RESPONSABILE DEL TRATTAMENTO DEI DATI PERSONALI” (d’ora in poi anche semplicemente “Responsabile”), con riferimento ai dati personali che il Fornitore potrà trattare nello svolgimento delle proprie attività e a quelli che potranno essere affidati al Fornitore in futuro.
Ai sensi del GDPR, l’attività svolta dal Responsabile sarà disciplinata come segue:
1. DURATA: Tale nomina avrà effetto per tutta la durata del rapporto del Responsabile con il Titolare e si intenderà automaticamente revocata in caso di cessazione dello stesso.
2. FINALITÀ DEL TRATTAMENTO: I dati che vengono affidati al Gestore, nell’ambito delle attività a lui affidate per la fruizione del Servizio, potranno essere trattati esclusivamente per le finalità indicate nell’incarico conferito e/o nel contratto stipulato con il Titolare. In particolare, i dati saranno trattati dal Fornitore solo al fine di poter garantire l’erogazione del Servizio al Titolare che, in ogni caso, rimarrà l’unico soggetto obbligato a dover comunicare al cliente finale le finalità ed ottenere il consenso al trattamento, nonché la comunicazione dei dati a terzi.
3. MODALITÀ DEL TRATTAMENTO: I dati potranno essere trattati su supporti cartacei o digitali, a seconda delle attività svolte, a condizione che gli strumenti siano opportunamente individuati ed inventariati dal Responsabile e sistematicamente comunicati al Titolare per il suo consenso. In particolare, i dati saranno trattati mediante la piattaforma software “Easyreview”.
4. OBBLIGHI E COMPITI DEL RESPONSABILE: Il Responsabile del Trattamento, come previsto dall’art. 28 del GDPR, si impegna a:
(a) trattare i dati personali affidati solo su istruzione documentata del Titolare, anche in caso di trasferimento dei dati personali a un paese terzo, salvo diversa disposizione di legge. In tal caso, il Responsabile è comunque tenuto ad informare il Titolare;
(b) garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza. A tal fine, il Responsabile verifica periodicamente che gli incaricati:
(i) svolgano il trattamento in modo lecito e secondo correttezza, esclusivamente ai fini della prestazione dei servizi oggetto del rapporto contrattuale tra le Parti;
(ii) trattare i dati personali esclusivamente per finalità inerenti alle mansioni loro affidate;
(iii) non comunicare o diffondere i dati personali senza la preventiva autorizzazione del Titolare;
(iv) verificare, in caso di interruzione anche temporanea del lavoro, che i dati personali trattati non siano accessibili a terzi non autorizzati;
(v) custodire e mantenere strettamente riservate le credenziali di autenticazione;
(vi) rispettare le misure di sicurezza richieste dal Titolare;
(c) assicurare un’adeguata e comprovata formazione delle persone autorizzate al trattamento, ai sensi dell’articolo 29 del GDPR;
(d) adottare, ai sensi dell’articolo 32 del GDPR, tutte le misure tecniche e organizzative appropriate per garantire un livello di sicurezza adeguato al rischio, tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, oggetto, contesto e finalità del trattamento, nonché il rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, in modo da ridurre al minimo i rischi di distruzione o perdita, anche accidentale dei dati stessi, di accesso non autorizzato o trattamento non consentito o non conforme alle finalità della raccolta
e) informare il Titolare, ai sensi dell’art. 28 GDPR, qualora sia necessario avvalersi di un altro Responsabile;
f) assistere il Titolare nell’adempimento degli obblighi di legge previsti dagli artt. 32 (Sicurezza del Trattamento), 33 (Comunicazione all’Autorità di controllo di una violazione dei dati personali), 34 (Comunicazione all’interessato di una violazione dei dati personali), 35 (Data Protection Impact Assessment), 36 (Consultazione preventiva), tenendo conto della natura del trattamento e delle informazioni a disposizione del Titolare.
g) provvedere all’aggiornamento, alla modifica, alla rettifica dei dati personali qualora ciò sia necessario in relazione alle finalità del trattamento, nonché cancellare o restituire tempestivamente, su richiesta del Titolare, tutti i dati personali e le copie esistenti di cui il Responsabile è in possesso senza poterne trattenere alcuna copia, salvo espressa pattuizione contraria o prevista dalla legge. In ogni caso, cancellare e/o distruggere, come previsto dalla legge (come la “cancellazione” per i dati digitali), i dati personali quando le finalità per le quali i dati sono stati raccolti e trattati siano state raggiunte, in assenza di un obbligo legale o il necessità di ulteriore conservazione;
h) consentire al Titolare di esercitare il potere di controllo ex art. 28 GDPR: in tale contesto, mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi del presente Addendum e per dimostrare il rispetto degli obblighi di legge e consentire attività di verifica (Audit), effettuati dal Titolare o da terzi incaricati dal Titolare, al fine di accertare il rispetto di tali modalità di trattamento dei dati e il rispetto degli obblighi di legge. Il Titolare avrà la facoltà di verificare, con un preavviso di almeno 20 (venti) giorni lavorativi, anche presso la sede del Titolare, la conformità delle procedure da questi adottate a quanto indicato nel presente Addendum o previsto dalla legge;
i) si impegnano a rispettare il Provvedimento Generale del Garante per la Protezione dei Dati Personali del 27 novembre 2008 “Misure e accorgimenti prescritti ai titolari del trattamento dei dati effettuato con strumenti elettronici in relazione alle attribuzioni delle funzioni di amministratore di Sistema, come modificato dal Provvedimento del Garante del 25 giugno 2009, “Modifiche al provvedimento del 27 novembre 2008 recante prescrizioni ai titolari dei trattamenti effettuati con strumenti elettronici in ordine alle attribuzioni di amministratore di sistema e proroga dei termini per il loro adempimento”, come eventualmente modificato o sostituito dallo stesso Garante, e ad ogni altro provvedimento rilevante dell’Autorità;
j) collaborare ai fini dell’esatta applicazione della legge, anche mediante riunioni periodiche e agire nell’ambito e nei limiti delle proprie attribuzioni, in autonomia, ma sempre secondo le direttive impartite dal Titolare.
5. SUPERVISIONE: Il Titolare potrà vigilare sul puntuale rispetto delle istruzioni qui impartite al Responsabile del Trattamento e verificherà la permanenza dei requisiti di esperienza, capacità ed affidabilità che hanno condizionato la designazione del Responsabile del Trattamento.
6. VIOLAZIONE: Il Responsabile è sin d’ora reso consapevole che qualora violi le disposizioni di legge determinando autonomamente le finalità e i mezzi del Trattamento, oppure disattendendo le istruzioni ricevute dal Titolare, sarà considerato Titolare del Trattamento in questione;
7. ASSISTENZA AL TITOLARE IN CASO DI VIOLAZIONE: In caso di violazione dei dati personali, il Fornitore si impegna a informare il Titolare senza indebito ritardo dal momento in cui viene a conoscenza della violazione. Il Fornitore assisterà il Titolare avviando un’analisi preliminare finalizzata alla raccolta dei dati relativi all’anomalia e compilando una scheda evento, contenente tutte le informazioni raccolte e al momento disponibili, quali, a titolo esemplificativo e non esaustivo:
– Data dell’evento, anche la data presunta di accadimento della violazione (nel qual caso va specificato)
– Data e ora in cui si è venuti a conoscenza della violazione;
– Fonte della segnalazione;
– Tipo di violazione e informazioni coinvolte;
– Descrizione dell’evento anomalo;
– Numero di interessati coinvolti;
– Numero dei dati personali che si presume siano stati violati;
– Indicazione della data, anche presunta, della violazione e di quando essa è diventata nota;
– Indicazione del luogo in cui si è verificata la violazione dei dati, specificando anche se essa si sia verificata a seguito della perdita di dispositivi o supporti portatili;
– Sintetica descrizione dei sistemi di elaborazione o conservazione dei dati coinvolti, con indicazione della loro ubicazione.
8. RISERVATEZZA: Il Responsabile si impegna a mantenere strettamente riservata e da utilizzare esclusivamente per l’esecuzione degli obblighi contrattuali, qualsiasi informazione relativa all’altra Parte e/o ai soggetti coinvolti nel trattamento dei dati personali e/o prodotti, servizi, organizzazione, strategia aziendale o tecnica ricevuta dall’altra soggetto o di cui vengano a conoscenza in occasione dell’esecuzione del contratto relativo al Servizio (di seguito, “Informazioni Riservate”). Il Responsabile si impegna a non utilizzare le Informazioni Riservate al di fuori delle finalità previste dal presente accordo, né a divulgarle a soggetti non previsti dal presente accordo, senza il consenso scritto del Titolare. Il Gestore adotta tutte le misure necessarie per non divulgare o rendere in alcun modo disponibili a terzi le Informazioni Riservate del Titolare e/o degli interessati, e sarà comunque ritenuto direttamente responsabile nei confronti del Titolare per qualsiasi violazione da parte dei propri dipendenti e /o subappaltatori degli obblighi di riservatezza previsti dal presente articolo. Le disposizioni del presente articolo non si applicano o cessano di applicarsi a quelle singole informazioni che il Titolare dimostri:
(i) siano già divenute di pubblico dominio per motivi diversi dalla violazione da parte del Titolare stesso;
(ii) erano già noti prima di essere ricevuti dal Titolare;
(iii) siano stati comunicati o divulgati in ottemperanza a un legittimo ordine di qualsiasi autorità o in virtù di un obbligo legale.
Le informazioni riservate divulgate rimarranno di proprietà del Titolare del Trattamento. Su richiesta scritta del Titolare stesso tali informazioni saranno restituite o distrutte dal Responsabile.
9. MODIFICHE E INTEGRAZIONI: Le Parti avranno il diritto di apportare al presente Accordo le modifiche e gli adeguamenti che potrebbero essere necessari in qualsiasi momento, anche per conformarsi a eventuali aggiornamenti normativi. Di ogni richiesta di modifica verrà data comunicazione al Gestore mediante lettera raccomandata con ricevuta di ritorno o posta elettronica certificata. A seguito della suddetta richiesta di modifica, il Gestore avrà 60 (sessanta) giorni di tempo per recedere dal contratto. Trascorso tale periodo, le modifiche si riterranno accettate dal Responsabile. Per tutto quanto non espressamente previsto dal presente accordo si rinvia alle disposizioni generali vigenti in materia di protezione dei dati personali.
10. LEGGE APPLICABILE: In caso di controversia relativa alla validità, interpretazione, esecuzione e cessazione del presente Addendum, le Parti si impegnano a cercare tra loro una composizione equa e amichevole. Qualora la controversia non venga risolta in via amichevole, si intenderà di competenza esclusiva dell’Autorità Giudiziaria del Foro di Roma. Per la risoluzione di ogni controversia relativa alla validità, interpretazione, esecuzione e risoluzione del presente accordo si applicherà la Legge Italiana.
Resta inteso che tale incarico non comporta alcun diritto del Fornitore ad alcuno specifico compenso e/o indennizzo e/o rimborso derivante da tale incarico, oltre a quanto già previsto nei Termini e Condizioni.
