Accordo sul Trattamento dei Dati

Contenuto

1. Definizioni
2. Responsabile e Titolare del Trattamento
3. Istruzioni e dettagli del trattamento
4. Misure tecniche e organizzative
5. Uso di personale e altri responsabili del trattamento
6. Assistenza per la conformità e diritti degli Interessati
7. Trasferimenti internazionali di dati
8. Informazioni e audit
9. Notifica di violazione
10. Restituzione, cancellazione e conservazione dei Dati Personali e dei Dati di Traffico
11. Risarcimento e reclami
12. Sopravvivenza delle clausole
13. Disposizioni generali

Noi, il fornitore [denominazione sociale, sede legale, codice fiscale e partita IVA – da completare], siamo indicati come Noi/Nostro/Ci e voi, il cliente, siete indicati come Voi/Vostro, congiuntamente le Parti e ciascuna una Parte.

1 Definizioni

1.1 I termini definiti nel presente Accordo sul trattamento dei dati avranno il significato ad essi attribuito nei Termini e Condizioni e si applicano le medesime regole di interpretazione. Inoltre, nel presente Accordo sul trattamento dei dati, le seguenti definizioni hanno i significati indicati di seguito:

2 Responsabile e Titolare del Trattamento

2.1 Ai sensi e per gli effetti dell’articolo 28 del GDPR, per tutti i trattamenti di Dati Personali necessari all’esecuzione del nostro Accordo, Voi, in qualità di Titolare del Trattamento, nominate Noi, che accettiamo, quale Responsabile del Trattamento, fatto salvo quanto previsto al paragrafo 2.4. Nulla nel presente Accordo Vi solleva da alcuna responsabilità od obbligo ai sensi delle Leggi sulla Protezione dei Dati.

2.2 Tratteremo i Dati Personali in conformità con le Leggi sulla Protezione dei Dati e i termini del nostro Accordo.

2.3 Garantite, rappresentate e vi impegnate affinché, in ogni momento:

2.3.1 Rispettiate le Leggi sulla Protezione dei Dati, anche in merito a raccolta, conservazione e trattamento dei Dati Personali;

2.3.2 i Dati Personali siano stati raccolti e siano trattati sulla base di un’idonea base giuridica ai sensi dell’articolo 6 e, ove applicabile, dell’articolo 9 del GDPR, e siano state fornite agli Interessati le informazioni di cui agli articoli 13 e 14 del GDPR, con specifica indicazione che il trattamento potrà essere effettuato anche tramite fornitori esterni, quali Noi e i Nostri Sub-Responsabili, in relazione a tutte le attività di trattamento che possono essere intraprese da Noi in conformità con il nostro Accordo;

2.3.3 Tutte le istruzioni da Voi fornite a Noi in relazione ai Dati Personali siano in ogni momento conformi alle Leggi sulla Protezione dei Dati;

2.3.4 per l’invio, tramite i Servizi, di comunicazioni per finalità di invio di materiale pubblicitario, di vendita diretta, di compimento di ricerche di mercato o di comunicazione commerciale mediante SMS, MMS, messaggistica istantanea, posta elettronica o altri sistemi automatizzati, sia stato preventivamente acquisito, e sia documentabile, il consenso degli Interessati ai sensi dell’articolo 130 del Codice Privacy, nel rispetto delle Linee guida del Garante in materia di attività promozionale e contrasto allo spam del 4 luglio 2013, e siano gestite tempestivamente le revoche
del consenso e le opposizioni degli Interessati;

2.3.5 i Dati Personali siano esatti e, ove necessario, aggiornati, ai sensi dell’articolo 5, paragrafo 1, lettera d), del GDPR, e ne siano conservate copie idonee a consentirne il ripristino in caso di perdita o danneggiamento; e

2.3.6 le Vostre società affiliate e gli Utenti Autorizzati che utilizzino i Servizi rispettino gli obblighi di cui al presente paragrafo 2.3, obbligandoVi a tal fine anche ai sensi dell’articolo 1381 del codice civile.

2.4 Le Parti riconoscono che Noi agiamo in qualità di Titolare del Trattamento autonomo, e non per Vostro conto, per i trattamenti di Dati Personali e di Dati di Traffico effettuati: (i) in adempimento di obblighi di legge a Noi direttamente applicabili, ivi inclusa la conservazione dei Dati di Traffico di cui al paragrafo 10.4; (ii) ai fini della fatturazione dei Servizi, ai sensi dell’articolo 123 del Codice Privacy; (iii) per finalità di prevenzione e contrasto delle frodi, degli abusi e dell’invio di comunicazioni illecite o ingannevoli tramite i Servizi, nonché di tutela della sicurezza e dell’integrità della piattaforma e delle reti. A tali trattamenti si applica la Nostra informativa sul trattamento dei dati personali, disponibile sulla piattaforma, e non si applicano le disposizioni del presente Accordo sul trattamento dei dati relative al Responsabile del Trattamento.

3 Istruzioni e dettagli del trattamento

3.1 Nella misura in cui Trattiamo Dati Personali per Vostro conto, Noi:

3.1.1 tratteremo (e adotteremo misure per garantire che ogni persona che agisce sotto la Nostra autorità tratti) i Dati Personali solo ed esclusivamente in conformità alle Vostre istruzioni documentate, anche con riguardo ai Trasferimenti, quali risultanti dal nostro Accordo, dal presente Accordo sul trattamento dei dati e dalle
impostazioni e dai comandi eseguiti tramite i Servizi (Istruzioni di Trattamento);

3.1.2 qualora le Leggi sulla Protezione dei Dati ci impongano di trattare i Dati Personali diversamente rispetto alle Istruzioni di Trattamento, Vi informeremo di tale obbligo prima di trattare i Dati Personali (a meno che tali Leggi sulla Protezione dei Dati lo vietino per importanti motivi di interesse pubblico); e

3.1.3 Vi informeremo immediatamente se veniamo a conoscenza di un’Istruzione di Trattamento che, a Nostro parere, violi le Leggi sulla Protezione dei Dati; e salvi i casi di dolo o colpa grave e nella misura massima consentita dalla legge, non avremo alcuna responsabilità (sia contrattuale, extracontrattuale, inclusa la negligenza, o di
altra natura) per eventuali perdite, costi, spese o responsabilità (incluse le Perdite relative alla Protezione dei Dati) derivanti da o in connessione con qualsiasi trattamento effettuato in conformità con le Vostre Istruzioni di Trattamento.

3.2 Riconoscete e accettate che l’esecuzione di qualsiasi comando informatico per trattare (inclusa la cancellazione di) Dati Personali effettuata nell’uso di uno qualsiasi dei Servizi da parte di un Utente Autorizzato costituirà un’Istruzione di Trattamento. Vi assicurerete che gli Utenti Autorizzati non eseguano tali comandi se non autorizzati da Voi (e da tutti gli altri Titolari del Trattamento rilevanti) e riconoscete che, in caso di cancellazione di Dati Personali in seguito a tali comandi, non saremo tenuti ad adoperarci per ripristinarli.

3.3 Il trattamento dei Dati Personali da parte Nostra ai sensi del nostro Accordo avverrà per l’oggetto, la durata, la natura e le finalità, e riguarderà i tipi di Dati Personali e le categorie di Interessati stabiliti nell’Allegato 1.

4 Misure tecniche e organizzative

4.1 Tenendo conto della natura del trattamento, adotteremo e manterremo adeguate misure tecniche e organizzative (come descritto nell’Allegato 2) per proteggere i Dati Personali da trattamenti non autorizzati o illeciti, e dalla perdita, distruzione o danneggiamento accidentale, adeguate al danno che potrebbe derivare da tali eventi e alla natura dei Dati Personali da proteggere, tenuto conto dello stato dello sviluppo tecnologico.

4.2 Nel rispetto del provvedimento del Garante del 27 novembre 2008 in materia di amministratori di sistema, come successivamente modificato, Noi: (i) designeremo individualmente per iscritto gli Amministratori di Sistema, previa valutazione della loro esperienza, capacità e affidabilità, con elencazione analitica degli ambiti di operatività
consentiti; (ii) conserveremo l’elenco aggiornato degli Amministratori di Sistema, con i relativi estremi identificativi e le funzioni attribuite, e lo metteremo a Vostra disposizione su richiesta; (iii) adotteremo sistemi idonei alla registrazione degli accessi logici degli Amministratori di Sistema ai sistemi di elaborazione e agli archivi elettronici (access log), completi, inalterabili e verificabili nella loro integrità, conservati per un periodo non inferiore a sei mesi; (iv) verificheremo con cadenza almeno annuale l’operato degli Amministratori di Sistema.

4.3 Nella misura in cui trattiamo Dati di Traffico, adotteremo inoltre le misure e gli accorgimenti prescritti dal provvedimento del Garante del 17 gennaio 2008 in materia di sicurezza dei dati di traffico telefonico e telematico, come successivamente modificato, tra cui: sistemi di autenticazione informatica forte per l’accesso ai Dati di Traffico conservati; procedure di autorizzazione differenziate; separazione dei sistemi e degli archivi destinati alla
conservazione per finalità di accertamento e repressione dei reati da quelli utilizzati per le altre finalità; registrazione degli accessi e delle operazioni compiute; cancellazione o anonimizzazione dei Dati di Traffico alla scadenza dei termini di conservazione.

4.4 Potremo aggiornare le misure di cui al presente paragrafo 4 e all’Allegato 2 per tenere conto dell’evoluzione tecnologica, a condizione che il livello complessivo di sicurezza non ne risulti ridotto.

5 Uso di personale e altri responsabili del trattamento

5.1 Ci fornite una autorizzazione generale a nominare i Sub-Responsabili elencati alla pagina web [link] (il Sito Web). Possiamo aggiornare il Sito Web di volta in volta e Vi informeremo via e-mail di qualsiasi aggiornamento, a condizione che registriate un indirizzo e-mail sul Sito Web. Avrete la possibilità di opporvi a qualsiasi aggiunta o sostituzione tramite notifica scritta inviata a Noi entro 20 giorni dalla modifica. In caso di opposizione fondata su
ragionevoli motivi attinenti alla protezione dei dati, le Parti si consulteranno in buona fede per individuare una soluzione; qualora la fornitura dei Servizi diventi impossibile senza l’aggiunta o la sostituzione del relativo Sub-Responsabile, ciascuna Parte avrà il diritto di recedere dal nostro Accordo, limitatamente ai Servizi interessati, con comunicazione scritta all’altra Parte e senza penali. Il Sito Web indica, per ciascun Sub-Responsabile, la sede, le attività di trattamento svolte e gli eventuali ulteriori sub-responsabili da questo nominati.

5.2 Noi provvederemo a:

5.2.1 prima che il relativo Sub-Responsabile svolga qualsiasi attività di trattamento sui Dati Personali, nominare ciascun Sub-Responsabile mediante contratto scritto contenente gli stessi obblighi in materia di protezione dei dati previsti ai paragrafi da 2 a 12 (inclusi) che sia azionabile da Noi (inclusi quelli relativi a garanzie sufficienti per
attuare adeguate misure tecniche e organizzative);

5.2.2 garantire che ciascun Sub-Responsabile rispetti tutti tali obblighi; e

5.2.3 rimanere interamente responsabili per tutti gli atti e le omissioni di ciascun Sub-Responsabile come se fossero Propri.

5.3 Garantiremo che tutte le persone da Noi (o da qualsiasi Sub-Responsabile) autorizzate a trattare i Dati Personali siano autorizzate al trattamento e istruite per iscritto ai sensi dell’articolo 29 del GDPR e dell’articolo 2-quaterdecies del Codice Privacy e siano soggette a un vincolante obbligo contrattuale scritto o legale di riservatezza sui Dati Personali (salvo nei casi in cui la divulgazione sia richiesta dalle Leggi sulla Protezione dei Dati, nel
qual caso, ove praticabile e non vietato da tali leggi, Vi informeremo prima di tale divulgazione).

6 Assistenza per la conformità e diritti degli Interessati

6.1 Inoltreremo a Voi senza indebito ritardo, e comunque entro 3 (tre) giorni lavorativi dal ricevimento, tutte le Richieste degli Interessati che riceveremo.

6.2 Tenendo conto della natura del trattamento, Vi assisteremo con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare il Vostro obbligo di dare seguito alle Richieste degli Interessati ai sensi del Capo III del GDPR, anche mettendo a disposizione, tramite i Servizi, funzionalità che consentano l’accesso, la rettifica, la cancellazione e l’esportazione dei Dati Personali.

6.3 Vi forniremo la ragionevole assistenza da Voi richiesta (tenendo conto della natura del trattamento e delle informazioni a Nostra disposizione) per garantire il rispetto dei Vostri obblighi ai sensi delle Leggi sulla Protezione dei Dati con riguardo a:

6.3.1 sicurezza del trattamento;

6.3.2 valutazioni d’impatto sulla protezione dei dati (secondo la definizione di tali termini nelle Leggi sulla Protezione dei Dati);

6.3.3 consultazione preventiva con l’Autorità di Controllo per trattamenti ad alto rischio; e

6.3.4 notifiche all’Autorità di Controllo e/o comunicazioni agli Interessati da parte Vostra in caso di Violazione dei Dati Personali.

7 Trasferimenti internazionali di dati

7.1.1 Non trasferiremo alcun Dato Personale verso Paesi o organizzazioni internazionali al di fuori dello Spazio Economico Europeo (SEE), a meno che:

7.1.2 tale Trasferimento avvenga in conformità alle Istruzioni di Trattamento ed esclusivamente per le finalità indicate nell’Allegato 1;

7.1.3 il Paese terzo o l’organizzazione internazionale sia oggetto di una decisione di adeguatezza della Commissione europea ai sensi dell’articolo 45 del GDPR (ivi incluso, per i destinatari stabiliti negli Stati Uniti, il quadro EU-U.S. Data Privacy Framework, limitatamente ai soggetti certificati), oppure siano state adottate Garanzie Adeguate ai sensi dell’articolo 46 del GDPR, ivi incluse le Clausole Contrattuali Standard;

7.1.4 gli Interessati dispongano di diritti azionabili e mezzi di ricorso effettivi; e

7.1.5 tale Trasferimento sia conforme alle Leggi sulla Protezione dei Dati e al
nostro Accordo.

7.2 Qualora un Trasferimento richieda la sottoscrizione delle Clausole Contrattuali Standard, queste si intendono incorporate per rinvio nel presente Accordo sul trattamento dei dati, nel modulo applicabile (modulo due, da titolare a responsabile, o modulo tre, da responsabile a responsabile), con le seguenti scelte: alla clausola 7 non si applica la clausola di adesione; alla clausola 9 si applica l’opzione 2 (autorizzazione generale), con il termine di preavviso di cui al paragrafo 5.1; ai fini della clausola 13 l’autorità di controllo competente è il Garante; alle clausole 17 e 18 si applicano la legge italiana e la giurisdizione dei tribunali di Milano. In caso di conflitto tra il presente Accordo sul trattamento dei dati e le Clausole Contrattuali Standard, prevalgono queste ultime.

7.3 Prima di effettuare un Trasferimento sulla base dell’articolo 46 del GDPR, effettueremo una valutazione dell’impatto del Trasferimento alla luce della legislazione e delle prassi del Paese terzo di destinazione, adottando ove necessario misure supplementari, e Ve ne metteremo a disposizione una sintesi su richiesta.

7.4 Riconoscete e accettate che, per le comunicazioni da Voi indirizzate a destinatari situati al di fuori del SEE, i Dati Personali contenuti nelle o relativi a tali comunicazioni devono necessariamente essere trasmessi agli operatori di comunicazione elettronica che servono i destinatari nel Paese di destinazione, i quali li trattano in qualità di titolari autonomi; tali trasmissioni avvengono su Vostra istruzione e non comportano la nomina di tali operatori
quali Sub-Responsabili.

8 Informazioni e audit

8.1 Manteniamo, in conformità con le Leggi sulla Protezione dei Dati a Noi applicabili, un registro scritto di tutte le categorie di attività di trattamento svolte per Vostro conto.

8.2 Metteremo a Vostra disposizione, su Vostra richiesta e in conformità con le Leggi sulla Protezione dei Dati, le informazioni ragionevolmente necessarie per dimostrare il rispetto dei Nostri obblighi ai sensi del presente Accordo sul trattamento dei dati e dell’articolo 28 del GDPR, e consentiremo lo svolgimento di verifiche (audit), comprese le ispezioni, da parte Vostra (o di un altro revisore da Voi incaricato) a questo scopo, a condizione che:

8.2.1 tale verifica, ispezione o richiesta di informazioni sia ragionevole, limitata alle informazioni in Nostro possesso o controllo e sia soggetta a un congruo preavviso da Voi inviatoci;

8.2.2 sosteniate i costi ragionevoli da Noi sostenuti per consentire la verifica o l’ispezione (a meno che tale verifica o ispezione non sia richiesta da un’Autorità di Controllo o sia dovuta a una Nostra violazione del presente Accordo sul trattamento dei dati);

8.2.3 le Parti (ciascuna agendo ragionevolmente e senza che il consenso sia irragionevolmente negato o ritardato) concordino tempistiche, ambito e durata della verifica, ispezione o comunicazione di informazioni, unitamente a eventuali politiche o altre misure specifiche a cui Voi o il revisore terzo dovrete conformarvi (anche per tutelare la sicurezza e la riservatezza di altri clienti, per garantire che non veniamo posti in violazione di altri accordi con altri clienti e per rispettare il resto del presente paragrafo 8.2);

8.2.4 i Vostri diritti ai sensi del presente paragrafo 8.2 possano essere esercitati solo una volta in un periodo di 12 mesi consecutivi, salvo diversa richiesta di un’Autorità di Controllo o qualora riteniate (ragionevolmente) che siamo in violazione del presente Accordo sul trattamento dei dati;

8.2.5 segnaliate tempestivamente a Noi qualsiasi non conformità riscontrata durante la verifica, l’ispezione o la comunicazione delle informazioni;

8.2.6 garantiate che tutte le informazioni ottenute o generate da Voi o dai Vostri revisori in relazione a tali richieste di informazioni, ispezioni e verifiche siano mantenute strettamente riservate (salvo nei casi di divulgazione richiesta dalle Leggi sulla Protezione dei Dati);

8.2.7 garantiate che tali verifiche o ispezioni vengano effettuate durante il normale orario di lavoro, causando il minimo disturbo alla Nostra attività; e

8.2.8 garantiate che ciascuna persona che agisce per Vostro conto in relazione a tale verifica o ispezione (compreso il personale di eventuali revisori terzi) non causi né contribuisca, con alcuna azione od omissione, a danni, distruzione, perdita o alterazione dei Nostri sistemi, apparecchiature o dati.

9 Notifica di violazione

9.1 In relazione a qualsiasi Violazione dei Dati Personali che coinvolga Dati Personali, provvederemo senza indebito ritardo, e comunque entro 48 (quarantotto) ore dal momento in cui ne siamo venuti a conoscenza, a:

9.1.1 notificarVi la Violazione dei Dati Personali; e

9.1.2 fornirVi, anche in fasi successive qualora non sia possibile fornirle contestualmente, le informazioni di cui all’articolo 33, paragrafo 3, del GDPR, tra cui la natura della violazione, le categorie e il numero approssimativo di Interessati e di registrazioni coinvolti, i dati di contatto del Nostro referente o responsabile della protezione dei dati, le probabili conseguenze della violazione e le misure adottate o proposte per porvi rimedio e attenuarne i possibili effetti negativi.

9.2 Collaboreremo con Voi e adotteremo le misure ragionevolmente necessarie per contenere la Violazione dei Dati Personali e attenuarne gli effetti. Salvo che ciò sia imposto dalla legge, non effettueremo comunicazioni al Garante o agli Interessati in merito a una Violazione dei Dati Personali riguardante i Dati Personali trattati per Vostro conto senza il Vostro previo consenso.

10 Restituzione, cancellazione e conservazione dei Dati Personali e dei Dati di Traffico

10.1 Al termine della fornitura dei Servizi (o di parte di essi) relativi al trattamento dei Dati Personali, a Vostra scelta, da comunicarsi per iscritto entro 30 (trenta) giorni dalla cessazione, provvederemo a restituirVi i Dati Personali in un formato strutturato, di uso comune e leggibile da dispositivo automatico e/o a cancellarli, unitamente alle relative copie, entro i successivi 30 (trenta) giorni; in mancanza di Vostra scelta, provvederemo alla cancellazione. Su Vostra richiesta, Vi forniremo attestazione scritta dell’avvenuta cancellazione. Resta salva la conservazione dei Dati Personali e dei Dati di Traffico imposta dal diritto dell’Unione europea o italiano, ai sensi dei paragrafi da 10.2 a 10.4. Salvi i casi di dolo o colpa grave, non avremo alcuna responsabilità per qualsiasi cancellazione o distruzione di tali Dati Personali effettuata in conformità con il nostro Accordo.

10.2 Il contenuto testuale delle comunicazioni (ivi incluso il testo degli SMS) è conservato esclusivamente per il tempo strettamente necessario al loro invio e alla gestione delle relative notifiche di consegna, salvo che Voi abbiate attivato, tramite i Servizi, funzionalità di archiviazione o di storico delle comunicazioni; in tal caso è conservato per il periodo da Voi impostato e comunque non oltre la cessazione del nostro Accordo, fermo quanto previsto al paragrafo 10.1.

10.3 I Dati di Traffico strettamente necessari a fini di fatturazione e di pagamento delle interconnessioni sono da Noi trattati, in qualità di Titolare del Trattamento autonomo, ai sensi dell’articolo 123 del Codice Privacy, per un periodo non superiore a sei mesi, a fini di documentazione in caso di contestazione della fattura o per la pretesa del pagamento, salva l’ulteriore specifica conservazione necessaria per effetto di una contestazione anche in sede giudiziale.

10.4 Conservazione dei Dati di Traffico. Nella misura in cui siamo soggetti agli obblighi di cui all’articolo 132 del Codice Privacy in qualità di fornitore di servizi di comunicazione elettronica accessibili al pubblico, conserviamo i Dati di Traffico telefonico, per finalità di accertamento e repressione dei reati, per ventiquattro mesi dalla data della comunicazione e, per i dati relativi alle chiamate senza risposta, per trenta giorni, nonché, ai sensi dell’articolo 24 della Legge 20 novembre 2017, n. 167, per settantadue mesi ai fini dell’accertamento e della repressione dei reati di cui agli articoli 51, comma 3-quater, e 407, comma 2, lettera a), del codice di procedura penale. Tale conservazione avviene in adempimento di un obbligo di legge a Noi direttamente applicabile, in qualità di Titolare del Trattamento autonomo, con l’adozione delle misure di cui al paragrafo 4.3; essa non è soggetta alle Istruzioni di Trattamento né alla restituzione o cancellazione di cui al paragrafo 10.1. I Dati di Traffico così conservati sono comunicati esclusivamente all’autorità giudiziaria e agli altri soggetti legittimati, nei casi e con le modalità previsti dalla legge, e sono cancellati o resi anonimi alla scadenza dei termini di conservazione.

10.5 Vi impegnate a informare gli Interessati, nell’ambito delle informative di cui al paragrafo 2.3.2,
che i dati relativi al traffico delle comunicazioni inviate tramite i Servizi possono essere conservati dai
fornitori di servizi di comunicazione elettronica per le finalità e nei termini previsti dalla legge.

11 Risarcimento e reclami

11.1 Fatta salva la limitazione di responsabilità stabilita nei Termini e Condizioni, che non opera nei casi di dolo o colpa grave, saremo responsabili per le Perdite relative alla Protezione dei Dati (comunque derivanti, sia in ambito contrattuale che extracontrattuale, inclusa la negligenza, o altro) ai sensi o in connessione con il nostro Accordo:

11.1.1 solo nella misura in cui siano causate dal trattamento dei Dati Personali effettuato ai sensi del nostro Accordo e derivino direttamente da una Nostra violazione del nostro Accordo; e

11.1.2 con esclusione della Nostra responsabilità qualora le Perdite relative alla Protezione dei Dati (o le circostanze che le hanno generate) siano state causate esclusivamente da una violazione del nostro Accordo o degli obblighi gravanti su di Voi in qualità di Titolare del Trattamento ai sensi delle Leggi sulla Protezione dei Dati e, in caso di concorso, con riduzione della Nostra responsabilità in proporzione alla gravità delle rispettive colpe e all’entità delle conseguenze che ne sono derivate, ai sensi dell’articolo 1227 del codice civile e dell’articolo 82, paragrafo 5, del GDPR.

11.2 Se una Parte riceve una richiesta di risarcimento da una persona in relazione al trattamento dei Dati Personali connesso al nostro Accordo o ai Servizi, darà tempestiva notifica e fornirà tutti i dettagli di tale richiesta all’altra Parte. La Parte che gestisce la difesa dovrà:

11.2.1 non ammettere alcuna responsabilità né concordare alcuna transazione o compromesso sul relativo reclamo senza il previo consenso scritto dell’altra Parte (che non dovrà essere irragionevolmente negato o ritardato); e

11.2.2 consultarsi pienamente con l’altra Parte in relazione a qualsiasi azione, fermo restando che i termini di qualsiasi transazione o compromesso della pretesa saranno di esclusiva pertinenza della Parte tenuta al pagamento del risarcimento ai sensi del nostro Accordo.

11.3 Il presente paragrafo 11 disciplina esclusivamente la ripartizione interna tra le Parti della responsabilità per le Perdite relative alla Protezione dei Dati e l’esercizio del conseguente diritto di regresso ai sensi dell’articolo 82, paragrafo 5, del GDPR, impregiudicata la responsabilità solidale prevista dall’articolo 82, paragrafo 4, del GDPR, e non si applica:

11.3.1 nella misura non consentita dalle Leggi sulla Protezione dei Dati; e

11.3.2 alla responsabilità di ciascuna Parte nei confronti degli Interessati, che resta disciplinata in via inderogabile dalle Leggi sulla Protezione dei Dati e non può essere limitata o esclusa dal presente Accordo sul trattamento dei dati.

12 Sopravvivenza delle clausole

Il presente Accordo sul trattamento dei dati sopravviverà alla risoluzione (per qualsiasi motivo) o alla scadenza del nostro Accordo e continuerà fino a quando non rimarrà alcun Dato Personale in possesso o sotto il controllo Nostro o di qualsiasi Sub-Responsabile, fermo restando che i paragrafi da 10 a 13 (inclusi) continueranno a tempo indeterminato.

13 Disposizioni generali

13.1 Il presente Accordo sul trattamento dei dati costituisce l’intero accordo tra le parti .in relazione al trattamento dei Dati Personali nell’ambito dei Servizi EsendexConnect e sostituisce, limitatamente a tali Servizi, tutti i precedenti accordi, promesse,assicurazioni, garanzie, dichiarazioni e intese tra di esse, sia scritti che orali, relativi allo stesso oggetto. Esso non pregiudica gli accordi sul trattamento dei dati che disciplinano altri servizi da Noi forniti. In caso di conflitto tra il presente Accordo sul trattamento dei dati e i Termini e Condizioni in materia di protezione dei dati personali, prevale il presente Accordo sul trattamento dei dati.

13.2 Nessun mancato o ritardato esercizio da parte di una parte di qualsiasi diritto o rimedio previsto dal presente Accordo sul trattamento dei dati o dalla legge costituirà una rinuncia a tale o a qualsiasi altro diritto o rimedio, né impedirà o limiterà l’ulteriore esercizio di tale o di qualsiasi altro diritto o rimedio. Nessun esercizio singolo o parziale di tale diritto o rimedio impedirà o limiterà l’ulteriore esercizio di tale o di qualsiasi altro diritto o rimedio.

13.3 Qualora una qualsiasi disposizione o parte di disposizione del presente Accordo sul trattamento dei dati sia o diventi invalida, illegale o inapplicabile, essa si intenderà modificata nella misura minima necessaria per renderla valida, legale e applicabile. Se tale modifica non è possibile, la relativa disposizione o parte di disposizione si intenderà eliminata. Qualsiasi modifica o eliminazione di una disposizione o parte di disposizione ai sensi della presente clausola non pregiudicherà la validità e l’applicabilità del resto del presente Accordo sul
trattamento dei dati.

13.4 Qualsiasi comunicazione o altra notifica fornita a una parte ai sensi o in connessione con il presente Accordo sul trattamento dei dati avverrà per iscritto, indirizzata a tale parte presso la sua sede legale e sarà consegnata di persona, o inviata tramite posta elettronica certificata (PEC), lettera raccomandata con avviso di ricevimento, corriere commerciale o e-mail.

13.5 Una comunicazione o altra notifica si riterrà ricevuta: (i) se consegnata di persona, al momento della consegna presso l’indirizzo di cui alla clausola 13.4; (ii) ;se inviata tramite lettera raccomandata con avviso di ricevimento, alla data risultante dall’avviso di ricevimento; (iii) se consegnata da un corriere commerciale, alla data e all’ora in cui viene firmata la ricevuta di consegna del corriere; (iv) se inviata tramite PEC, alla data e all’ora risultanti dalla ricevuta di avvenuta consegna; o (v) se inviata tramite e-mail, un Giorno Lavorativo dopo la trasmissione.

13.6 Nessuno al di fuori delle parti del presente Accordo sul trattamento dei dati avrà alcun diritto di far valere uno qualsiasi dei suoi termini.

13.7 Il presente Accordo sul trattamento dei dati e qualsiasi controversia o pretesa (comprese controversie o pretese extracontrattuali) derivante da o in connessione con esso, il suo oggetto o la sua formazione saranno disciplinati e interpretati in conformità con la legge italiana.

13.8 Ciascuna parte accetta irrevocabilmente che il Foro di Milano avrà competenza esclusiva per risolvere qualsiasi controversia o pretesa (comprese controversie o pretese extracontrattuali) derivante da o in connessione con il presente Accordo sul trattamento dei dati, il suo oggetto o la sua formazione.

13.9 Qualora modifiche delle Leggi sulla Protezione dei Dati o provvedimenti del Garante rendano necessario adeguare il presente Accordo sul trattamento dei dati, le Parti negozieranno in buona fede le modifiche necessarie.

Luogo e data: ____________________ Firma: ____________________

Ai sensi e per gli effetti degli articoli 1341 e 1342 del codice civile, dichiarate di aver letto e di
approvare specificamente le seguenti clausole: 3.1.3 (esclusione di responsabilità per i trattamenti
conformi alle Istruzioni di Trattamento); 3.2 (comandi informatici e mancato ripristino dei Dati
Personali); 5.1 (autorizzazione generale ai Sub-Responsabili e recesso); 8.2 (condizioni, limiti e costi
delle verifiche); 10.1 (limitazione di responsabilità per la cancellazione); 11 (risarcimento, reclami e
limitazioni di responsabilità); 13.7 e 13.8 (legge applicabile e foro competente).

Firma: ____________________

Allegato 1

Dettagli del trattamento dei dati

Oggetto del trattamento:

Invio di comunicazioni aziendali

Durata del trattamento:

Per tutta la durata del nostro Accordo efino alla restituzione o cancellazione dei Dati Personali ai sensi del paragrafo 10, fermi i trattamenti effettuati da Noi in qualità di Titolare del Trattamento autonomo ai sensi dei paragrafi 2.4, 10.3 e 10.4.

Natura e finalità del trattamento:

Trattamento in conformità ai diritti e agli obblighi delle Parti ai sensi del nostro Accordo;

Trattamento ragionevolmente necessario per la fornitura dei Servizi;

Trattamento avviato, richiesto o istruito dagli Utenti Autorizzati in relazione all’uso dei Servizi, o da Voi, in ogni caso in modo coerente con il nostro Accordo.

Conservazione temporanea del contenuto delle comunicazioni e dei relativi Dati di Traffico per la gestione dell’invio, delle notifiche di consegna e della reportistica dei Servizi, nei limiti di cui al paragrafo 10.

Tipo di Dati Personali:

Nome e cognome;

Indirizzi (es. postale, e-mail, PEC);

Numero di cellulare;

Dati di Traffico relativi alle comunicazioni (es. mittente o Alias, destinatario, data e ora, esito della
consegna);

Contenuto delle comunicazioni;

Ulteriori dati inseriti da Voi nella Nostra piattaforma, che non dovranno includere categorie particolari di dati personali ai sensi dell’articolo 9 del GDPR né dati relativi a condanne penali e reati ai sensi dell’articolo 10 del GDPR, salvo previo accordo scritto tra le Parti.

Categorie di Interessati:

I Vostri clienti, potenziali clienti e/o dipendenti.

Allegato 2

Misure tecniche e organizzative

Il presente Allegato descrive le misure tecniche e organizzative minime adottate dal Responsabile del Trattamento ai sensi dell’articolo 32 del GDPR e dei provvedimenti del Garante richiamati nel paragrafo 4. [Nota per la revisione: contenuto da verificare e completare con la funzione IT/Security del gruppo sulla base delle misure effettivamente adottate per la piattaforma Esendex Connect.]

1. Governance della sicurezza: politica di sicurezza delle informazioni approvata dalla direzione e riesaminata almeno annualmente; ruoli e responsabilità in materia di sicurezza formalmente attribuiti; [certificazioni possedute, es. ISO/IEC 27001 – da verificare].
2. Sicurezza fisica: infrastrutture ospitate in data center situati nel SEE [o nel Regno Unito – da verificare], dotati di controllo degli accessi fisici, videosorveglianza, sistemi antincendio, alimentazione ridondata e registrazione dei visitatori.
3. Controllo degli accessi logici: credenziali di autenticazione individuali; autenticazione a più fattori per gli accessi amministrativi e disponibile per gli Utenti Autorizzati; profili di autorizzazione basati sul principio del minimo privilegio; revisione almeno annuale delle utenze e disattivazione tempestiva delle credenziali non più necessarie.
4. Amministratori di Sistema: designazione individuale, elenco aggiornato, registrazione degli accessi conservata per almeno sei mesi e verifica annuale dell’operato, ai sensi del paragrafo 4.2.
5. Sicurezza dei Dati di Traffico: misure di cui al paragrafo 4.3, ivi incluse autenticazione forte, separazione degli archivi destinati alla conservazione per finalità di giustizia e cancellazione o anonimizzazione alla scadenza dei termini.
6. Cifratura: cifratura dei dati in transito mediante protocolli TLS 1.2 o superiori e cifratura a riposo delle basi dati e dei backup.
7. Segregazione: separazione logica dei dati dei diversi clienti nell’ambiente multi-tenant della piattaforma; separazione degli ambienti di sviluppo, test e produzione, con divieto di utilizzo di Dati Personali reali negli ambienti di sviluppo e test.
8. Registrazione e monitoraggio: registrazione degli eventi di sicurezza rilevanti e monitoraggio continuo dei sistemi per l’individuazione di accessi non autorizzati e anomalie.
9. Continuità operativa: backup periodici, verifiche periodiche di ripristino, ridondanza delle infrastrutture critiche e piano di disaster recovery.
10. Gestione delle vulnerabilità e sviluppo sicuro: gestione tempestiva degli aggiornamenti di sicurezza; test di penetrazione almeno annuali; applicazione dei principi di protezione dei dati fin dalla progettazione e per impostazione predefinita di cui all’articolo 25 del GDPR.
11. Gestione degli incidenti: procedura documentata di individuazione, valutazione, contenimento e notifica delle Violazioni dei Dati Personali, coordinata con i termini di cui al paragrafo 9.
12. Personale: autorizzazione e istruzione per iscritto del personale ai sensi dell’articolo 2-quaterdecies del Codice Privacy; obblighi di riservatezza; formazione periodica in materia di protezione dei dati e sicurezza delle informazioni.
13. Sub-Responsabili: valutazione preventiva e periodica delle garanzie offerte dai Sub-Responsabili e stipula di contratti conformi all’articolo 28, paragrafo 4, del GDPR.
14. Minimizzazione e cancellazione: applicazione dei termini di conservazione di cui al paragrafo 10 e cancellazione sicura dei Dati Personali e dei supporti alla scadenza di tali termini.