Allegato sul trattamento dei dati

Il presente Allegato fa parte integrante del Contratto ed è stipulato tra : 

1. (i) Il Cliente (« Esportatore dei dati ») ; et
2. (ii) IQUALIF (« Importatore dei dati »),

ciascuna denominata « Parte » e congiuntamente le « Parti ».

Premessa

CONSIDERANDO CHE l’Importatore dei dati fornisce servizi software professionali, servizi IT e affini (come Browser con funzioni di ricerca avanzata) ;

CONSIDERANDO CHE, in virtù del Contratto, l’Importatore dei dati ha accettato di fornire all’Esportatore dei dati i servizi specificati nel Contratto (i « Servizi ») ;

CONSIDERANDO CHE, fornendo i Servizi, l’Importatore dei dati riceve o beneficia dell’accesso alle informazioni dell’Esportatore dei dati o alle informazioni di altre persone che intrattengono una relazione (potenziale) con l’Esportatore dei dati, tali informazioni possono qualificarsi come dati personali ai sensi del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 sulla protezione delle persone fisiche con riguardo al trattamento dei dati personali e alla libera circolazione di tali dati (« GDPR ») e di altre leggi sulla protezione dei dati applicabili ;

CONSIDERANDO CHE il presente Allegato contiene le condizioni generali applicabili alla raccolta, al trattamento e all’utilizzo di tali dati personali da parte dell’Importatore dei dati in qualità di responsabile del trattamento autorizzato dall’Esportatore dei dati, al fine di assicurare che le parti rispettino la normativa applicabile in materia di protezione dei dati.

ORA PERTANTO, e al fine di permettere alle Parti di proseguire il loro rapporto in conformità alla legge, le Parti convengono il presente Allegato come segue :

Parte 1

1. Struttura del documento e definizioni

1.1 Struttura

Il presente Allegato è composto da diverse parti, come segue :

Parte 1 :	contiene le disposizioni generali, ad esempio in merito alle definizioni utilizzate nel presente Allegato, la conformità alle leggi locali, la durata e la risoluzione ;
Parte 2 :	contiene il corpo del documento non modificato delle Clausole tipo ;
Allegato 1.1 e successivi della Parte 2 :	contiene i dettagli sulle operazioni di trattamento fornite dall’Importatore dei dati all’Esportatore dei dati in qualità di responsabile del trattamento autorizzato (inclusi l’oggetto del trattamento, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati) ai sensi del presente Allegato ;
Allegato 2 della Parte 2 :	contiene una descrizione delle misure di sicurezza tecniche e organizzative dell’Importatore dei dati, che sono applicate in modo coerente in relazione a tutte le attività di trattamento descritte nell’Allegato 1.1 e successivi della Parte 2 ;
Parte 3 :	contiene le firme delle Parti che dichiarano di essere vincolate dal presente Allegato e identifica ciascun Importatore dei dati.

1.2 Terminologia e definizioni

Ai fini del presente Allegato, la terminologia e le definizioni utilizzate dal GDPR si applicano (anche nel corpo del documento delle Clausole tipo nella Parte 2, ove i termini definiti non siano scritti con iniziale maiuscola). Oltre a ciò, 

« Stato membro"	indica un paese appartenente all’Unione europea o allo Spazio economico europeo ;
« Categorie speciali di dati (personali) »	si riferisce ai dati personali che rivelano l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza a un sindacato, e ai dati genetici, ai dati biometrici se trattati ai fini di identificare in modo univoco una persona fisica, ai dati relativi alla salute o ai dati relativi alla vita sessuale o all’orientamento sessuale di una persona ;
« Clausole tipo »	indica le clausole contrattuali tipo per il trasferimento di dati personali da responsabili del trattamento stabiliti in paesi terzi, conformemente alla Decisione della Commissione 2010/87/UE del 5 febbraio 2010, modificata dalla Decisione di esecuzione della Commissione (UE) 2016/2297 del 16 dicembre 2016 ;
« Sub-responsabile »	indica qualsiasi responsabile del trattamento, ubicato all’interno o all’esterno dell’UE/SEE, che accetti di ricevere dall’Importatore dei dati o da qualsiasi altro sub-responsabile dell’Importatore dei dati, dati personali esclusivamente ai fini di eseguire attività per conto dell’Esportatore dei dati dopo il trasferimento in conformità alle istruzioni dell’Esportatore dei dati, con le condizioni del presente Allegato e il Contratto con l’Importatore dei dati.

2. Obblighi dell’Esportatore dei dati

2.1 L’Esportatore dei dati è tenuto a garantire la conformità a tutti gli obblighi applicabili ai sensi del GDPR e a qualsiasi altra legge applicabile in materia di protezione dei dati che si applichi all’Esportatore dei dati, nonché a dimostrare tale conformità come richiesto dall’Art. 5 (2) del GDPR. L’Esportatore dei dati garantisce all’Importatore dei dati di aver previamente ottenuto il consenso degli interessati conformemente all’articolo 6 (a) del GDPR e di aver adempiuto al proprio obbligo di informazione degli interessati conformemente agli articoli 13 e 14 del GDPR.

2.2 L’Esportatore dei dati è tenuto a fornire all’Importatore dei dati i registri delle rispettive attività di trattamento ai sensi dell’Art. 30 (1) del GDPR relative ai Servizi di cui al presente Allegato, nella misura necessaria affinché l’Importatore dei dati possa rispettare l’obbligo ai sensi dell’Art. 30 (2) del GDPR. 

2.3 L’Esportatore dei dati deve designare un responsabile o un rappresentante per la protezione dei dati, nella misura richiesta dalla legge applicabile in materia di protezione dei dati. L’Esportatore dei dati è tenuto a comunicare i dati di contatto del responsabile o del rappresentante per la protezione dei dati, se del caso, all’Importatore dei dati. 

2.4. L’Esportatore dei dati conferma, prima dell’esecuzione del trattamento, accettando il presente Allegato, che le misure di sicurezza tecniche e organizzative dell’Importatore dei dati, come definite nell’Allegato 2 della Parte 2, sono appropriate e sufficienti a proteggere i diritti degli interessati e conferma che l’Importatore dei dati fornisce garanzie adeguate a tal riguardo.

3. Conformità alla normativa locale

Al fine di soddisfare i requisiti relativi all’attuazione dei responsabili del trattamento ai sensi dell’Art. 28 del GDPR, i seguenti emendamenti sono applicabili :

3.1 Istruzioni

1. (i) L’Esportatore dei dati istruisce l’Importatore dei dati a trattare i dati personali esclusivamente per conto dell’Esportatore dei dati. Le istruzioni dell’Esportatore dei dati sono fornite nel presente Allegato e nel Contratto. L’Esportatore dei dati è tenuto a garantire che tutte le istruzioni fornite all’Importatore dei dati siano conformi alle leggi applicabili in materia di protezione dei dati. L’Importatore dei dati è tenuto a trattare i dati personali esclusivamente in conformità alle istruzioni fornite dall’Esportatore dei dati, salvo che sia diversamente richiesto dall’Unione europea o dalla legge dello Stato membro (in quest’ultimo caso, si applica la Parte 1 Clausola 3.2 (iv) (c)).
2. (ii) Tutte le altre istruzioni che vadano oltre le istruzioni contenute nel presente Allegato o nel Contratto devono rientrare nell’oggetto del presente Allegato e del Contratto. Se l’attuazione di tale istruzione aggiuntiva comporta dei costi per l’Importatore dei dati, quest’ultimo informerà l’Esportatore dei dati di tali costi e fornirà una spiegazione prima di mettere in atto l’istruzione. Solo dopo che l’Esportatore dei dati avrà confermato l’accettazione di tali oneri per l’attuazione dell’istruzione, l’Importatore dei dati dovrà attuare l’istruzione aggiuntiva. L’Esportatore dei dati dovrà fornire istruzioni aggiuntive preferibilmente per iscritto, salvo che l’urgenza o altre circostanze specifiche richiedano altra forma (ad es. orale, elettronica). Le istruzioni in forma diversa da quella scritta devono essere confermate per iscritto senza indugio dall’Esportatore dei dati.

1. 1. Salvo che l’Esportatore dei dati non possa effettuare la rettifica, la cancellazione o la limitazione dei dati personali da solo, le istruzioni possono anche riguardare la rettifica, la cancellazione e/o la limitazione dei dati personali come previsto nella Parte 1 Clausola 3.3. 
2. 2. L’Importatore dei dati deve informare immediatamente l’Esportatore dei dati se, a suo avviso, un’istruzione contravviene al GDPR o ad altre disposizioni di protezione dei dati applicabili dell’Unione europea o di uno Stato membro (« Istruzione contestata »). Se l’Importatore dei dati ritiene che un’istruzione contrasti con il GDPR o con altre disposizioni di protezione dei dati applicabili dell’Unione europea o di uno Stato membro, l’Importatore dei dati non è obbligato a seguire l’Istruzione contestata. Se l’Esportatore dei dati conferma l’Istruzione contestata ricevuta l’informazione dall’Importatore dei dati e riconosce la propria responsabilità in relazione all’Istruzione contestata, l’Importatore dei dati attuerà tale Istruzione contestata, salvo che questa riguardi (i) l’attuazione di misure tecniche e organizzative, (ii) i diritti degli interessati o (iii) l’impiego di Sub-responsabili. Nei casi (i) a (iii), l’Importatore dei dati può contattare un’autorità di controllo competente per far valutare legalmente dall’autorità stessa l’Istruzione contestata. Se l’autorità di controllo dichiara che l’Istruzione contestata è legale, l’Importatore dei dati dovrà applicare l’Istruzione contestata. La Parte 1 Clausola 3.1 (ii) resta applicabile.

3.2 Obblighi dell’Importatore dei dati

1. (i) L’Importatore dei dati è tenuto a garantire che le persone autorizzate dall’Importatore dei dati a trattare i dati personali per conto dell’Esportatore dei dati, in particolare i dipendenti dell’Importatore dei dati nonché i dipendenti di qualsiasi Sub-responsabile, si siano impegnate a rispettare la riservatezza o siano soggette a un adeguato obbligo legale di riservatezza, e che tali persone che hanno accesso ai dati personali li trattino in conformità alle istruzioni dell’Esportatore dei dati.
2. (ii) L’Importatore dei dati è tenuto a implementare le misure di sicurezza tecniche e organizzative come stabilito nell’Allegato 2 della Parte 2 prima di trattare i dati personali per conto dell’Esportatore dei dati. L’Importatore dei dati può modificare le misure di sicurezza tecniche e organizzative di volta in volta, purché tali misure non offrano una protezione inferiore a quelle stabilite nell’Allegato 2 della Parte 2.
3. (iii) L’Importatore dei dati deve mettere a disposizione dell’Esportatore dei dati, su richiesta di quest’ultimo, le informazioni necessarie per dimostrare la conformità agli obblighi dell’Importatore dei dati ai sensi del presente Allegato. Le parti convengono che tale obbligo di informazione è soddisfatto fornendo all’Esportatore dei dati un rapporto di audit (coprente i principi di sicurezza, la disponibilità del sistema e la riservatezza) (« Rapporto di audit »). Se attività di audit aggiuntive sono richieste per legge, l’Esportatore dei dati può chiedere che vengano effettuate ispezioni dall’Esportatore dei dati o da un altro revisore incaricato dall’Esportatore dei dati, soggette all’esecuzione da parte di tale revisore di un accordo di riservatezza con l’Importatore dei dati soddisfacente per quest’ultimo (« Audit »). Tale Audit è soggetto alle seguenti condizioni : (i) la preventiva accettazione formale scritta dell’Importatore dei dati ; e (ii) l’Esportatore dei dati sosterrà tutti i costi derivanti da o in relazione all’Audit in loco per l’Esportatore dei dati e per l’Importatore dei dati. L’Esportatore dei dati è tenuto a redigere un rapporto di audit che riepiloghi i risultati e le osservazioni dell’Audit in loco (« Rapporto di audit in loco »). I Rapporti di audit in loco, così come i Rapporti di audit, sono informazioni confidenziali dell’Importatore dei dati e non devono essere divulgati a terzi, salvo se richiesto dalla legge applicabile in materia di protezione dei dati o con il consenso dell’Importatore dei dati. 
4. (iv) L’Importatore dei dati è tenuto ad avvisare l’Esportatore dei dati senza ingiustificato ritardo :
   1. a. riguardo qualsiasi richiesta legalmente vincolante di divulgazione dei dati personali da parte di un’autorità di applicazione della legge, salvo diverso divieto, come un divieto ai sensi della legge penale volto a proteggere la riservatezza di un’indagine di applicazione della legge ;
   2. b. riguardo qualsiasi reclamo e richiesta ricevuti direttamente da un interessato (ad es. riguardo accesso, rettifica, cancellazione, limitazione del trattamento, portabilità dei dati, opposizione al trattamento dei dati, decisione automatizzata) senza rispondere a tale richiesta, salvo che l’Importatore dei dati abbia ricevuto l’autorizzazione a farlo ;
   3. c. se è obbligato, ai sensi della legge dell’Unione europea o dello Stato membro cui è soggetto l’Importatore dei dati o il Sub-responsabile, a trattare i dati personali oltre le istruzioni dell’Esportatore dei dati, prima di procedere a tale trattamento oltre l’istruzione, salvo che tale legge dell’Unione europea o dello Stato membro vieti tali informazioni per motivi importanti di interesse pubblico, nel qual caso la notifica all’Esportatore dei dati dovrà precisare il requisito legale ai sensi di tale legge dell’Unione europea o dello Stato membro ; oppure
   4. d. se l'Importatore dei dati viene a conoscenza di una violazione dei dati personali imputabile esclusivamente a lui stesso o a un suo Sub-responsabile, che interesserebbe i dati personali dell’Esportatore dei dati coperti dal presente contratto, nel qual caso l'Importatore dei dati assisterà l'Esportatore dei dati nel suo obbligo, ai sensi della legge applicabile in materia di protezione dei dati, di informare gli interessati e, se del caso, le autorità di controllo fornendo le informazioni in suo possesso, conformemente all'Art. 33 (3) del GDPR. 
   5. (v) Su richiesta dell'Esportatore dei dati, l'Importatore dei dati sarà tenuto ad assisterlo nel suo obbligo di realizzare una valutazione d'impatto sulla protezione dei dati che possa essere richiesta dall'Art. 35 del GDPR e una consultazione preventiva che possa essere richiesta dall'Art. 36 del GDPR in relazione ai servizi forniti dall'Importatore dei dati all'Esportatore dei dati ai sensi del presente Allegato, fornendo le informazioni necessarie e disponibili all'Esportatore dei dati. L'Importatore dei dati sarà tenuto a fornire tale assistenza solo nella misura in cui l'Esportatore dei dati non sia in grado di adempiere al proprio obbligo con altri mezzi. L'Importatore dei dati informerà l'Esportatore dei dati del costo di tale assistenza. Non appena l'Esportatore dei dati confermerà di poter sostenere tale costo, l'Importatore dei dati fornirà tale assistenza.
   6. (vi) Al termine della prestazione dei servizi, l'Esportatore dei dati potrà richiedere la restituzione dei dati personali trattati dall'Importatore dei dati ai sensi del presente Allegato entro un mese dalla cessazione dei servizi. Salvo che la legislazione dello Stato membro o dell'Unione Europea richieda all'Importatore dei dati di conservare tali dati personali, l'Importatore dei dati cancellerà tutti tali dati personali o non personali dopo il periodo di un mese, che siano stati restituiti o meno all'Esportatore dei dati su sua richiesta.

3.3 Diritti degli interessati

1. 1. (i) L'Esportatore dei dati è il principale responsabile della gestione delle richieste presentate dagli interessati e delle risposte da fornire. L'Importatore dei dati non è obbligato a rispondere direttamente agli interessati. 
   2. (ii) Se l'Esportatore dei dati necessita dell’assistenza dell'Importatore dei dati per gestire le richieste presentate dagli interessati e le risposte da fornire, emetterà un’istruzione supplementare, conformemente alla Clausola 3.1 (ii) della Parte 1. L'Importatore dei dati assisterà l'Esportatore dei dati con le misure tecniche e organizzative appropriate e possibili come segue al fine di rispondere alle richieste di esercizio dei diritti degli interessati esposti nel Capitolo III del GDPR : 
   3. a. Per quanto riguarda le richieste di informazione, l'Importatore dei dati fornirà all'Esportatore dei dati le informazioni richieste dagli Art. 13 e 14 del GDPR di cui sia in possesso solo se quest’ultimo non è in grado di reperirle autonomamente.
   4. b. Per quanto riguarda le richieste di accesso (Art. 15 del GDPR), l'Importatore dei dati fornirà all'Esportatore dei dati le informazioni da fornire a un interessato per tale richiesta di accesso, di cui sia in possesso, solo se quest’ultimo non è in grado di reperirle autonomamente.
   5. c. Per quanto riguarda le richieste di rettifica (Art. 16 del GDPR), le richieste di cancellazione (Art. 17 del GDPR), la limitazione delle richieste di trattamento (Art. 18 del GDPR), o le richieste di portabilità (Art. 20 del GDPR), e solo se l'Esportatore dei dati non è in grado di rettificare o, a seconda dei casi, cancellare, limitare o trasmettere i dati personali a un altro terzo, l'Importatore dei dati offrirà all'Esportatore dei dati la possibilità di rettificare o, a seconda dei casi, di cancellare, limitare o trasmettere i dati personali interessati all’altro terzo, oppure, se ciò non è possibile, fornirà l'assistenza necessaria per rettificare o, a seconda dei casi, cancellare, limitare o trasmettere all’altro terzo i dati personali interessati.
   6. d. Per quanto riguarda la notifica relativa alla rettifica, alla cancellazione o alla limitazione del trattamento (Art. 19 del GDPR), l'Importatore dei dati assisterà l'Esportatore dei dati avvisando tutti i destinatari dei dati personali impegnati dall'Importatore dei dati come sub-responsabili se l'Esportatore dei dati lo richiede e se l’Esportatore dei dati non è in grado di provvedere autonomamente. 
   7. e. Per quanto riguarda il diritto di opposizione esercitato da un interessato (Art. 21 e 22 del GDPR) l'Esportatore dei dati determinerà se l'opposizione è legittima e come trattarla.
   8. (iii) Gli obblighi di assistenza dell'Importatore dei dati sono limitati ai dati personali trattati nell’ambito delle sue infrastrutture (ad es., basi di dati, sistemi, applicazioni posseduti o forniti dall'Importatore dei dati).  
   9. (iv) L'Esportatore dei dati deve determinare se un interessato ha o meno il diritto di esercitare i diritti degli interessati menzionati nella Clausola 3.1 della presente Parte 1 e deve indicare all'Importatore dei dati in quale misura è necessaria l'assistenza specificata nelle Clausole 3.3 (ii), (iii) della Parte 1.
   10. (v) Se l'Esportatore dei dati richiede, per rispondere ai diritti degli interessati, misure tecniche e organizzative aggiuntive o modificate che vadano oltre l'assistenza fornita dall'Importatore dei dati ai sensi della Clausola 3.3 (ii), (iii) della Parte 1, quest'ultimo dovrà informare l'Esportatore dei dati dei costi per l'implementazione di tali misure tecniche e organizzative aggiuntive o modificate.  Non appena l'Esportatore dei dati confermerà di poter sostenere tali costi, l'Importatore dei dati implementerà tali misure tecniche e organizzative aggiuntive o modificate per assistere l'Esportatore dei dati nel rispondere alle richieste degli interessati.
   11. (vi) Fermo restando quanto previsto dalla Clausola 3.3 (v) della Parte 1, l'Esportatore dei dati sarà tenuto a rimborsare all'Importatore dei dati le spese ragionevoli sostenute in relazione alle richieste degli interessati.

3.4 Sub-responsabili

1. 1. (i) L'Esportatore dei dati autorizza l'impiego di Sub-responsabili da parte dell'Importatore dei dati per la fornitura dei servizi ai sensi del presente Allegato. L'Importatore dei dati selezionerà tali Sub-responsabili con cura. L'Esportatore dei dati approva i Sub-responsabili elencati nell'Allegato 1.1 alla fine della Parte 2.
   2. (ii) L'Importatore dei dati trasferirà ai Sub-responsabili le proprie obbligazioni ai sensi del presente Allegato nella misura applicabile ai servizi subappaltati. 
   3. (iii) L'Importatore dei dati può licenziare, sostituire o nominare a sua discrezione altri Sub-responsabili appropriati e affidabili. Se l'Esportatore dei dati lo richiede per iscritto, l'Importatore dei dati è tenuto a seguire la procedura indicata di seguito :

1. 1. a. L'Importatore dei dati informerà preventivamente l'Esportatore dei dati di qualsiasi modifica alla lista dei Sub-responsabili referenziata ai sensi della Clausola 3.4 (i) della Parte 1. Se l'Esportatore dei dati non solleva obiezioni ai sensi della Clausola 3.4. (b) della Parte 1 entro trenta giorni dal ricevimento della notifica dell'Importatore dei dati, i Sub-responsabili aggiuntivi saranno considerati accettati.
   2. b. Se l'Esportatore dei dati ha un motivo legittimo per opporsi a un Sub-responsabile aggiuntivo, lo comunicherà previamente per iscritto all'Importatore dei dati entro trenta giorni dal ricevimento della notifica dell'Importatore dei dati e, in ogni caso, prima dell'entrata in servizio della prestazione fornita dall’Importatore dei dati. Se l'Esportatore dei dati si oppone all'utilizzo di un Sub-responsabile aggiuntivo, l'Importatore dei dati avrà il diritto di eliminare l'obiezione mediante una delle seguenti opzioni (a sua discrezione) : (A) l'Importatore dei dati annullerà i piani di utilizzo del Sub-responsabile aggiuntivo per i dati personali dell'Esportatore dei dati ; (B) l'Importatore dei dati adotterà le misure correttive richieste dall'Esportatore dei dati nella sua obiezione (annullando così detta obiezione) e utilizzerà il Sub-responsabile aggiuntivo per i dati personali dell'Esportatore dei dati ; (C) l'Importatore dei dati potrà cessare di fornire o l'Esportatore dei dati potrà accettare di non utilizzare (temporaneamente o permanentemente) un aspetto particolare del servizio che implicherebbe l'uso del Sub-responsabile aggiuntivo per i dati personali dell'Esportatore dei dati.

1. 1. (iv) Nel caso in cui il Sub-responsabile abbia sede al di fuori dell'UE-SEE in un paese che non è riconosciuto come avente un adeguato livello di protezione dei dati a seguito di una decisione della Commissione europea, l'Importatore dei dati adotterà le misure necessarie per conformarsi a un livello adeguato di protezione dei dati ai sensi del GDPR (tali misure possono includere – tra le altre e, a seconda dei casi – l'uso di contratti di trattamento dei dati basati sulle clausole del Modello UE, il trasferimento a Sub-responsabili auto-certificati nell'ambito dello Scudo privacy UE-USA, o un programma simile).

3.5 Durata

La durata del presente Allegato è identica alla durata del relativo Contratto. Salvo quanto diversamente previsto dal presente Allegato, i diritti e i doveri relativi alla risoluzione saranno identici a quelli contenuti nel Contratto.

4. Limitazione di responsabilità

4.1 Ogni parte è responsabile per i propri obblighi derivanti dal presente Allegato e dalla normativa applicabile in materia di protezione dei dati.

4.2 Qualsiasi responsabilità derivante o relativa a una violazione degli obblighi derivanti dal presente Allegato o dalla normativa applicabile in materia di protezione dei dati sarà soggetta alle disposizioni relative alla responsabilità indicate nel Contratto, o applicabili a tale contratto, e sarà disciplinata da quest’ultimo, salvo quanto diversamente previsto dal presente Allegato. Se la responsabilità è disciplinata dalle disposizioni relative alla responsabilità indicate nel Contratto o applicabili a tale contratto, ai fini del calcolo dei massimali di responsabilità o della determinazione dell’applicazione di altre limitazioni di responsabilità, una responsabilità verificatasi nell’ambito del presente Allegato sarà considerata come verificatasi nell’ambito del Contratto.

5. Disposizioni generali

5.1 Nella misura in cui dovessero esistere contraddizioni o divergenze tra le Parti 1 e 2 del presente Allegato, prevarranno le disposizioni della Parte 2. In particolare, anche in tal caso, le disposizioni della Parte 1 che semplicemente integrano la Parte 2 (vale a dire, le condizioni della Clausola tipo) senza contraddirla, resteranno valide.

5.2 In caso di divergenze tra le disposizioni del presente Allegato e quelle di altri contratti vincolanti tra le parti, prevarranno le disposizioni del presente Allegato riguardo agli obblighi delle parti relativi alla protezione dei dati. In caso di dubbio sul fatto che le clausole di altri contratti riguardino gli obblighi delle parti relativi alla protezione dei dati, prevarrà il presente Allegato.

5.3 Se dovesse risultare che una disposizione del presente Allegato sia invalida o inapplicabile, il resto del presente Allegato resterà pienamente valido. La disposizione invalida o inapplicabile sarà (i) modificata, se necessario, per garantire la sua validità e applicabilità, preservando il più possibile l’intento delle parti, oppure – se ciò non fosse possibile – (ii) interpretata come se la parte invalida o inapplicabile non fosse mai stata parte del contratto.  Quanto sopra si applicherà anche se il presente Allegato presenta una omissione.

5.5 Nella misura necessaria, le Parti hanno il diritto di richiedere modifiche alla Parte 1, Clausola 3 (Conformità alla normativa locale)  o ad altre parti dell’Allegato, al fine di soddisfare interpretazioni, direttive o ordini emessi dalle autorità competenti dell’Unione o degli Stati membri, le disposizioni nazionali di recepimento, o qualsiasi altro sviluppo giuridico riguardante il GDPR o altre condizioni di delega a tutte le entità coinvolte nel trattamento dei dati in generale, e specificamente riguardo all’uso delle Clausole tipo nell’ambito del GDPR. I termini delle Clausole tipo non possono essere né modificati né sostituiti a meno che la Commissione europea non lo approvi espressamente (ad esempio mediante nuove clausole adeguate e standard di protezione dei dati).

5.6 Qualsiasi riferimento del presente Allegato alle «Clausole» deve essere interpretato come riferito a tutte le disposizioni del presente Allegato, salvo disposizione contraria. 

5.7 La scelta della legge della parte 2, clausola 9, riguarda l’interezza del Contratto.

6. Dati personali trasferiti e trattati dalle parti per fini propri (trasferimento da titolare a titolare)

6.1 Le Parti riconoscono che alcuni dati personali saranno trasferiti dall’Esportatore dei dati all’Importatore e viceversa, e che tali dati sono trattati da ciascuna parte per propri scopi. Con riguardo a tali dati personali, le altre disposizioni del presente Allegato non si applicano (ad eccezione della presente clausola 6).

6.2 L’Esportatore dei dati può trasferire dati personali relativi al personale dell’Importatore dei dati, a quest’ultimo Importatore, in particolare informazioni sugli incidenti di sicurezza, o qualsiasi altro documento o file creato o redatto dall’Esportatore dei dati in relazione ai Servizi forniti dal personale dell’Importatore dei dati. L’Importatore dei dati può trattare tali dati personali per propri scopi, in particolare nell’ambito dei rapporti professionali con il personale dell’Importatore dei dati, per il controllo qualità e la formazione, o per finalità commerciali.

6.3. L'Importatore dei dati può trasferire dati personali all'Esportatore dei dati, in particolare nome e dati di contatto relativi al personale dell’Importatore dei dati. L’Esportatore dei dati può trattare tali dati personali per propri scopi.

6.4 Entrambe le parti si conformano a qualsiasi legge vigente sulla protezione dei dati, inclusi il GDPR, nella raccolta, nel trattamento e nell’uso di tali dati personali ricevuti dall’altra parte ai sensi della presente clausola 1 della Parte 1. In particolare, entrambe le parti devono adottare misure di sicurezza adeguate, fornendo un livello di protezione simile alle misure di sicurezza elencate nell’Allegato 2 della Parte 2. Qualsiasi accesso a tali dati personali deve essere limitato al principio del minimo necessario per conoscenza.

6.5 Entrambe le parti sono tenute a cancellare tali dati personali il prima possibile una volta raggiunti gli scopi per cui sono stati raccolti.

Parte 2

 DECISIONE DELLA COMMISSIONE 

del 5 febbraio 2010

relativa alle clausole contrattuali tipo per il trasferimento di dati personali a sub-responsabili stabiliti in paesi terzi ai sensi della direttiva 95/46/CE del Parlamento europeo e del Consiglio

Clausola prima 

Definizioni 

Ai fini delle clausole: 

a) «dati personali», «categorie particolari di dati», «trattare/trattamento», «titolare del trattamento», «sub-responsabile», «interessato» e «autorità di controllo» hanno lo stesso significato che nella direttiva 95/46/CE del Parlamento europeo e del Consiglio del 24 ottobre 1995 relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali e alla libera circolazione di tali dati ( 1 ); 

b) «esportatore dei dati» è il titolare del trattamento che trasferisce i dati personali; 

c) «importatore dei dati» è il responsabile del trattamento che accetta di ricevere dall’esportatore dei dati dati personali destinati a essere trattati per conto di quest’ultimo dopo il trasferimento in conformità alle sue istruzioni e ai termini delle presenti clausole e che non è soggetto al meccanismo di un paese terzo che fornisca una protezione adeguata ai sensi dell’articolo 25, paragrafo 1, della direttiva 95/46/CE; d) il «sub-responsabile successivo» è il sub-responsabile incaricato dall’importatore dei dati o da qualsiasi altro sub-responsabile successivo dello stesso, che accetta di ricevere dall’importatore dei dati o da qualsiasi altro sub-responsabile successivo dello stesso dati personali esclusivamente destinati ad attività di trattamento da svolgere per conto dell’esportatore dei dati dopo il trasferimento conformemente alle istruzioni di quest’ultimo, alle condizioni stabilite nelle presenti clausole e nei termini del contratto di subappalto scritto; 

e) la «normativa applicabile alla protezione dei dati» è la legislazione che protegge le libertà e i diritti fondamentali delle persone, in particolare il diritto alla vita privata con riguardo al trattamento dei dati personali, e che si applica a un titolare del trattamento nello Stato membro in cui l’esportatore dei dati è stabilito; 

f) le «misure tecniche e organizzative relative alla sicurezza» sono le misure intese a proteggere i dati personali contro distruzione accidentale o illecita, perdita accidentale, alterazione, divulgazione o accesso non autorizzato, in particolare quando il trattamento comporta la trasmissione di dati tramite rete, e contro qualsiasi altra forma illecita di trattamento. 

Clausola 2 

Dettagli del trasferimento 

I dettagli del trasferimento e, in particolare, se del caso, le categorie particolari di dati personali, sono specificati nell’appendice 1 che fa parte integrante delle presenti clausole. 

Clausola 3 

Clausola del terzo beneficiario 

1. L’interessato può far valere nei confronti dell’esportatore dei dati la presente clausola, nonché la clausola 4, punti b) a i), la clausola 5, punti a) a e) e punti g) a j), la clausola 6, paragrafi 1 e 2, la clausola 7, la clausola 8, paragrafo 2, e le clausole 9 a 12 come terzo beneficiario. 

2. L’interessato può far valere nei confronti dell’importatore dei dati la presente clausola, nonché la clausola 5, punti a) a e) e g), la clausola 6, la clausola 7, la clausola 8, paragrafo 2, e le clausole 9 a 12 nei casi in cui l’esportatore dei dati sia materialmente scomparso o abbia cessato di esistere giuridicamente, a meno che l’insieme dei suoi obblighi giuridici non sia stato trasferito, per contratto o per effetto di legge, all’entità che gli succede, alla quale conseguentemente spettano i diritti e gli obblighi dell’esportatore dei dati, e nei confronti della quale l’interessato può quindi far valere dette clausole. 

3. L’interessato può far valere nei confronti del sub-responsabile successivo la presente clausola, nonché la clausola 5, punti a) a e) e g), la clausola 6, la clausola 7, la clausola 8, paragrafo 2, e le clausole 9 a 12, ma solo nei casi in cui l’esportatore dei dati e l’importatore dei dati siano materialmente scomparsi, abbiano cessato di esistere giuridicamente o siano diventati insolventi, a meno che l’insieme degli obblighi giuridici dell’esportatore dei dati non sia stato trasferito, per contratto o per effetto di legge, al successore legale, al quale conseguentemente spettano i diritti e gli obblighi dell’esportatore dei dati, e nei confronti del quale l’interessato può quindi far valere dette clausole. Tale responsabilità civile del sub-responsabile successivo deve essere limitata alle proprie attività di trattamento conformemente alle presenti clausole. 4. Le parti non si oppongono che l’interessato sia rappresentato da un’associazione o da un altro organismo se lo desidera e se il diritto nazionale lo consente. 

Clausola 4 

Obblighi dell’esportatore dei dati 

L’esportatore dei dati accetta e garantisce quanto segue: 

a) il trattamento, compreso il trasferimento effettivo dei dati personali, è stato e continuerà a essere effettuato in conformità alle disposizioni pertinenti della normativa applicabile alla protezione dei dati (e, se del caso, è stato notificato alle autorità competenti dello Stato membro in cui l’esportatore dei dati è stabilito) e non viola le disposizioni pertinenti di tale Stato; 

b) ha incaricato, e incaricherà per tutta la durata dei servizi di trattamento dei dati personali, l’importatore dei dati di trattare i dati personali trasferiti per conto esclusivo dell’esportatore dei dati e in conformità alla normativa applicabile alla protezione dei dati e alle presenti clausole; 

c) l’importatore dei dati offrirà garanzie sufficienti in merito alle misure tecniche e organizzative relative alla sicurezza specificate nell’appendice 2 del presente contratto; 

d) dopo la valutazione dei requisiti della normativa applicabile alla protezione dei dati, le misure di sicurezza sono adeguate per proteggere i dati personali contro distruzione accidentale o illecita, perdita accidentale, alterazione, divulgazione o accesso non autorizzato, in particolare quando il trattamento implica la trasmissione di dati tramite rete, e contro qualsiasi altra forma illecita di trattamento e garantiscono un livello di sicurezza adeguato ai rischi connessi al trattamento e alla natura dei dati da proteggere, tenuto conto del livello tecnologico e dei costi di attuazione; 

e) vigilerà sul rispetto delle misure di sicurezza; 

f) se il trasferimento riguarda categorie particolari di dati, l’interessato è stato informato o sarà informato prima del trasferimento o non appena possibile dopo il trasferimento che i suoi dati potrebbero essere trasmessi a un paese terzo che non offre un livello di protezione adeguato ai sensi della direttiva 95/46/CE; 

g) trasmetterà qualsiasi comunicazione ricevuta dall’importatore dei dati o da qualsiasi sub-responsabile successivo conformemente alla clausola 5, punto b), e alla clausola 8, paragrafo 3), all’autorità di controllo della protezione dei dati se decide di proseguire il trasferimento o di revocare la sospensione; 

h) metterà a disposizione degli interessati, se richiesto, una copia delle presenti clausole, ad eccezione dell’appendice 2, e una descrizione sommaria delle misure di sicurezza, nonché una copia di qualsiasi contratto di subappalto successivo concluso conformemente alle presenti clausole, a meno che le clausole o il contratto non contengano informazioni commerciali, nel qual caso potrà escludere tali informazioni; 

i) in caso di subappalto successivo, l’attività di trattamento è eseguita conformemente alla clausola 11 da un sub-responsabile successivo che offra almeno lo stesso livello di protezione dei dati personali e dei diritti dell’interessato rispetto all’importatore dei dati conformemente alle presenti clausole; e 

j) vigilerà sul rispetto della clausola 4, punti a) a i). 

Clausola 5 

Obblighi dell’importatore dei dati  

L’importatore dei dati accetta e garantisce quanto segue: 

a) tratterà i dati personali per conto esclusivo dell’esportatore dei dati e conformemente alle istruzioni di quest’ultimo e alle presenti clausole; se non è in grado di conformarsi per qualsiasi motivo, si impegna a informare prontamente l’esportatore dei dati della sua incapacità, nel qual caso quest’ultimo ha il diritto di sospendere il trasferimento dei dati e/o di risolvere il contratto; 

b) non ha motivo di ritenere che la legislazione che lo riguarda gli impedisca di adempiere alle istruzioni fornite dall’esportatore dei dati e agli obblighi a lui spettanti conformemente al contratto, e se tale legislazione viene modificata in modo tale da poter avere conseguenze negative sostanziali sulle garanzie e sugli obblighi offerti dalle clausole, ne darà comunicazione all’esportatore dei dati senza ritardo dopo averne avuta conoscenza, nel qual caso quest’ultimo ha il diritto di sospendere il trasferimento dei dati e/o di risolvere il contratto; c) ha implementato le misure tecniche e organizzative relative alla sicurezza specificate nell’appendice 2 prima di trattare i dati personali trasferiti;

d) comunicherà senza ritardo all’esportatore dei dati: 

i) qualsiasi richiesta vincolante di divulgazione dei dati personali proveniente da un’autorità di mantenimento dell’ordine, salvo disposizione contraria, quale un divieto di natura penale volto a preservare il segreto di un’indagine di polizia; 

ii) qualsiasi accesso accidentale o non autorizzato; e 

iii) qualsiasi richiesta ricevuta direttamente dagli interessati senza rispondere a tale richiesta, a meno che non sia stato autorizzato a farlo; 

e) tratterà rapidamente e in modo appropriato tutte le richieste di informazioni provenienti dall’esportatore dei dati relative al suo trattamento dei dati personali oggetto del trasferimento e si conformerà alle indicazioni dell’autorità di controllo in merito al trattamento dei dati trasferiti; 

f) su richiesta dell’esportatore dei dati, sottoporrà i propri mezzi di trattamento dei dati a una verifica delle attività di trattamento coperte dalle presenti clausole che sarà effettuata dall’esportatore dei dati o da un organismo di controllo composto da membri indipendenti che possiedano le qualifiche professionali richieste, soggetti a obbligo di segretezza e scelti dall’esportatore dei dati, se del caso, con il consenso dell’autorità di controllo; 

g) metterà a disposizione dell’interessato, se lo richiede, una copia delle presenti clausole, o di qualsiasi contratto di subappalto successivo esistente, a meno che le clausole o il contratto non contengano informazioni commerciali, nel qual caso potrà escludere tali informazioni, ad eccezione dell’appendice 2, che sarà sostituita da una descrizione sommaria delle misure di sicurezza, quando l’interessato non sia in grado di ottenere una copia dall’esportatore dei dati; 

h) in caso di subappalto successivo, informerà preventivamente l’esportatore dei dati e otterrà il suo consenso scritto; 

i) i servizi di trattamento forniti dal sub-responsabile successivo saranno conformi alla clausola 11; 

j) invierà senza ritardo una copia di qualsiasi accordo di subappalto successivo concluso da lui ai sensi delle presenti clausole all’esportatore dei dati. 

Clausola 6 

Responsabilità 

1. Le parti convengono che qualsiasi interessato che abbia subito un danno a causa di una violazione degli obblighi di cui alla clausola 3 o alla clausola 11 da parte di una delle parti o di un sub-responsabile successivo ha il diritto di ottenere dall’esportatore dei dati il risarcimento del danno subito. 

2. Se un interessato è impedito dall’intentare l’azione di risarcimento di cui al paragrafo 1 nei confronti dell’esportatore dei dati per una violazione da parte dell’importatore dei dati o del suo sub-responsabile successivo di una qualsiasi delle sue obbligazioni di cui alla clausola 3 o alla clausola 11, perché l’esportatore dei dati è materialmente scomparso, ha cessato di esistere in diritto o è diventato insolvente, l’importatore dei dati accetta che l’interessato possa presentare un reclamo nei suoi confronti come se fosse l’esportatore dei dati, a meno che l’insieme degli obblighi giuridici dell’esportatore dei dati non sia stato trasferito, per contratto o per effetto di legge, all’entità che gli succede, nei confronti della quale l’interessato può allora far valere i propri diritti. L’importatore dei dati non può invocare una violazione da parte di un sub-responsabile successivo dei suoi obblighi per sottrarsi alle proprie responsabilità. 

3. Se un interessato è impedito dall’intentare l’azione di cui ai paragrafi 1 e 2 nei confronti dell’esportatore dei dati o dell’importatore dei dati per una violazione da parte del sub-responsabile successivo di una qualsiasi delle sue obbligazioni di cui alla clausola 3 o alla clausola 11, perché l’esportatore dei dati e l’importatore dei dati sono materialmente scomparsi, hanno cessato di esistere in diritto o sono diventati insolventi, il sub-responsabile successivo accetta che l’interessato possa presentare un reclamo nei suoi confronti in relazione alle proprie attività di trattamento conformemente alle presenti clausole come se fosse l’esportatore dei dati o l’importatore dei dati, a meno che l’insieme degli obblighi giuridici dell’esportatore dei dati o dell’importatore dei dati non sia stato trasferito, per contratto o per effetto di legge, al successore legale, nei confronti del quale l’interessato può allora far valere i suoi diritti. La responsabilità del sub-responsabile successivo deve essere limitata alle proprie attività di trattamento conformemente alle presenti clausole. 

Clausola 7 

Mediazione e giurisdizione 

1. L’importatore dei dati accetta che se, ai sensi delle clausole, l’interessato gli invoca il diritto del terzo beneficiario e/o richiede il risarcimento del danno subito, accetterà la decisione dell’interessato: 

a) di sottoporre la controversia alla mediazione di una persona indipendente o, se del caso, dell’autorità di controllo; 

b) di deferire la controversia ai tribunali dello Stato membro in cui l’esportatore dei dati è stabilito. 

2. Le parti convengono che la scelta effettuata dall’interessato non pregiudicherà il diritto procedurale o sostanziale di quest’ultimo di ottenere il risarcimento conformemente ad altre disposizioni del diritto nazionale o internazionale. 

Clausola 8 

Cooperazione con le autorità di controllo 

1. L’esportatore dei dati si impegna a depositare una copia del presente contratto presso l’autorità di controllo se questa lo richiede o se tale deposito è previsto dalla normativa applicabile alla protezione dei dati. 

2. Le parti convengono che l’autorità di controllo ha il diritto di effettuare verifiche presso l’importatore dei dati e presso qualsiasi sub-responsabile successivo nella medesima misura e alle medesime condizioni previste per le verifiche operate presso l’esportatore dei dati conformemente alla normativa applicabile alla protezione dei dati. 

3. L’importatore dei dati informa l’esportatore dei dati, senza ritardo, dell’esistenza di una normativa che lo riguardi o che riguardi qualsiasi sub-responsabile successivo che impedisca l’effettuazione di verifiche presso di lui o presso qualsiasi sub-responsabile successivo conformemente al paragrafo 2. In tal caso, l’esportatore dei dati ha il diritto di adottare le misure previste dalla clausola 5, punto b). 

Clausola 9 

Legge applicabile 

Le clausole sono regolate dalla legge dello Stato membro in cui l’esportatore dei dati è stabilito., 

Clausola 10 

Modifica del contratto 

Le parti si impegnano a non modificare le presenti clausole. Le parti restano libere di includere altre clausole di carattere commerciale che ritengano necessarie, a condizione che non contraddicano le presenti clausole. 

Clausola 11 

Subappalto successivo 

1. L’importatore dei dati non subappalterà alcuna delle sue attività di trattamento svolte per conto dell’esportatore dei dati conformemente alle presenti clausole senza il previo consenso scritto dell’esportatore dei dati. L’importatore dei dati subappalta gli obblighi a lui spettanti conformemente alle presenti clausole, con il consenso dell’esportatore dei dati, solo mediante un accordo scritto stipulato con il sub-responsabile successivo, imponendo a quest’ultimo gli stessi obblighi che incombono all’importatore dei dati conformemente alle presenti clausole ). In caso di violazione, da parte del sub-responsabile successivo, degli obblighi in materia di protezione dei dati a lui spettanti conformemente a detto accordo scritto, l’importatore dei dati rimane pienamente responsabile del rispetto di tali obblighi nei confronti dell’esportatore dei dati. 

2. Il contratto scritto preliminare tra l’importatore dei dati e il sub-responsabile successivo prevede altresì una clausola del terzo beneficiario come enunciata nella clausola 3 per i casi in cui l’interessato sia impedito dall’intentare l’azione di risarcimento di cui alla clausola 6, paragrafo 1, contro l’esportatore dei dati o l’importatore dei dati perché questi sono materialmente scomparsi, hanno cessato di esistere in diritto o sono diventati insolventi, e che l’insieme degli obblighi giuridici dell’esportatore dei dati o dell’importatore dei dati non sia stato trasferito, per contratto o per effetto di legge, a un’altra entità loro subentrata. Tale responsabilità civile del sub-responsabile successivo deve essere limitata alle proprie attività di trattamento conformemente alle presenti clausole. 

3. Le disposizioni relative agli aspetti del subappalto successivo collegati alla protezione dei dati del contratto di cui al paragrafo 1 sono regolate dalla legge dello Stato membro in cui l’esportatore dei dati è stabilito. 

4. L’esportatore dei dati tiene un elenco degli accordi di subappalto successivo conclusi ai sensi delle presenti clausole e notificati dall’importatore dei dati conformemente alla clausola 5, punto j), che sarà aggiornato almeno una volta all’anno. Tale elenco è messo a disposizione dell’autorità di controllo della protezione dei dati dell’esportatore dei dati. 

Clausola 12 

Obbligo dopo la cessazione dei servizi di trattamento dei dati personali 

1. Le parti convengono che al termine dei servizi di trattamento dei dati, l’importatore dei dati e il sub-responsabile successivo restituiranno all’esportatore dei dati, a scelta di quest’ultimo, tutti i dati personali trasferiti nonché le copie, oppure distruggeranno tutti tali dati e ne daranno prova all’esportatore dei dati, salvo che la legislazione imposta all’importatore dei dati gli impedisca di restituire o distruggere la totalità o una parte dei dati personali trasferiti. In tal caso, l’importatore dei dati garantisce che assicurerà la riservatezza dei dati personali trasferiti e che non tratterà più attivamente tali dati. 

2. L’importatore dei dati e il sub-responsabile successivo garantiscono che, se richiesto dall’esportatore dei dati e/o dall’autorità di controllo, sottoporranno i loro mezzi di trattamento dei dati a una verifica delle misure di cui al paragrafo 1. 

Allegato 1.1 della parte 2

Dettagli del trasferimento

Esportatore dei dati

L'Esportatore dei dati è il Cliente definito nel Contratto.

Importatore dei dati

L'Importatore dei dati è IQUALIF ed è incaricato del trattamento dei dati, prestando i servizi all'Esportatore dei dati.

Interessati

I dati personali trasferiti riguardano le seguenti categorie di interessati :

☒ gli abbonati telefonici iscritti nell’elenco universale

☐ Altri, in particolare :

Categorie di dati

I dati personali trasferiti riguardano le seguenti categorie di dati :

Categorie di dati personali degli interessati dell'Esportatore dei dati, in particolare,

☒ Nome completo

☒ Indirizzo postale

☒ Dati di contatto (e-mail, telefono, indirizzo IP, ecc.)

☒ Dettagli sulle attività di marketing relative all’abbonato telefonico

☒ Altri, in particolare : tipo di abitazione, redditi e età medie per città rese anonime

Categorie speciali di dati (se applicabile)

I dati personali trasferiti riguardano le seguenti categorie speciali di dati :

☒ Il trasferimento di categorie speciali di dati non è previsto

☐ Razza o origine etnica

☐ Convinzioni religiose o filosofiche

☐ Appartenenza a sindacati

☐ Opinioni politiche

☐ Informazioni genetiche 

☐ Informazioni biometriche

☐ Informazioni sull'orientamento sessuale o sulla vita sessuale

☐ Dati relativi alla salute

Attività di trattamento

I dati personali trasferiti saranno soggetti alle seguenti attività elementari di trattamento :

• • • Oggetto del trattamento

Il trattamento intrapreso per conto dell'Esportatore dei dati riguarda i seguenti ambiti, in particolare :

☒ Supporto di prodotti o servizi offerti dall’Esportatore dei dati

☒ Offerta di un prodotto o servizio che la persona chiamata può richiedere

☒ Ordini effettuati presso le persone contattate e successivo trattamento di tali ordini

☒ Questionari di studi e analisi

☒ Telemarketing

☐ Altri, in particolare :

• • • Natura e finalità del trattamento

L'Importatore dei dati tratta i dati personali degli interessati per conto dell'Esportatore dei dati, al fine di fornire i seguenti servizi, e in particolare :

☒ Vendite e marketing

☒ Altri, in particolare : aggiornamento delle banche dati dei comuni e dei partiti politici

• • • Fornitura dei servizi e impiego di fornitori di servizi

IQUALIF combina, centralizza e fornisce principalmente i servizi all'Esportatore dei dati. I servizi prestati dal fornitore di servizi nominato possono riguardare (tra l’altro e a seconda dei casi) i seguenti servizi ausiliari: (i) fornitura di applicazioni, strumenti, sistemi e un’infrastruttura informatica in relazione ai centri di elaborazione dati utilizzati, al fine di fornire e supportare i servizi, incluso il trattamento dei dati personali degli interessati come sopra descritto, tramite tali applicazioni, strumenti e sistemi ; (ii) fornitura di assistenza informatica, manutenzione e altri servizi relativi a tali applicazioni, strumenti, sistemi e infrastruttura informatica, incluso un potenziale accesso ai dati personali memorizzati in tali applicazioni, strumenti e sistemi ; e (iii) fornitura di servizi di protezione dei dati, monitoraggio della protezione e servizi di intervento in caso di incidenti, incluso un potenziale accesso ai dati personali durante la prestazione di tali servizi di protezione. IQUALIF può avvalersi di Sub-responsabili come indicato di seguito, al fine di erogare i servizi, compresi i servizi ausiliari.

• • • Fornitori di servizi terzi esterni in qualità di sottounità coinvolte nel trattamento dei dati

IQUALIF si avvale di fornitori di servizi esterni e terzi, che non sono affiliate di IQUALIF, al fine di supportare la fornitura dei servizi all'Esportatore dei dati. L’Esportatore dei dati approva tale tipologia di fornitori di servizi terzi esterni come sottounità coinvolte nel trattamento dei dati

Se una sottounità coinvolta nel trattamento dei dati si trova al di fuori dell'UE / SEE, in un paese ritenuto non disporre di un livello adeguato di protezione dei dati conformemente a una decisione della Commissione europea, l'Importatore dei dati adotterà misure per ottenere un livello sufficiente di protezione dei dati conformemente al GDPR, nonché alla sezione 3,4 (iv) della parte 1.

Allegato 2, parte 2

Misure di protezione tecniche e organizzative

L'Importatore dei dati adotta le seguenti misure di protezione tecniche e organizzative, se del caso confermate dall'Esportatore dei dati, al fine di garantire un livello di sicurezza adeguato dei diritti e delle libertà delle persone, in funzione dei rischi. Nella valutazione del livello di protezione pertinente, l'Esportatore dei dati ha tenuto conto in particolare dei rischi connessi al trattamento, in particolare la distruzione accidentale o illecita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, archiviati o trattati in qualsiasi altra maniera. Per chiarezza : tali misure di protezione tecniche e organizzative non riguardano le applicazioni, gli strumenti, i sistemi e/o le infrastrutture informatiche forniti dall'Esportatore dei dati.

1 Misure generali di protezione tecniche e organizzative

1.1 Strategie generali di protezione delle informazioni e dei dati

Le seguenti misure devono essere adottate per seguire le strategie generali di protezione dei dati e delle informazioni :

a) adottare misure per valutare quelle adottate in materia di protezione tecnica e organizzativa ;

b) erogare formazione per sensibilizzare i dipendenti ;

c) disporre di una descrizione dei sistemi interessati e concedere l’accesso ai dipendenti ;

d) istituire un processo ufficiale di documentazione ogniqualvolta i sistemi vengono implementati o modificati ;

e) documentazione della struttura organizzativa, dei processi, delle responsabilità e delle relative valutazioni ;

1.2 Organizzazione della protezione delle informazioni

Le seguenti misure devono essere adottate per coordinare le attività di protezione dei dati e delle informazioni :

a) competenze e responsabilità definite in materia di protezione delle informazioni e dei dati (ad es., mediante una politica di governance della protezione dei dati) ;

b) competenze necessarie in materia di protezione delle informazioni e dei dati mantenute disponibili ;

c) tutti i dipendenti si sono impegnati a mantenere i dati personali riservati e sono stati informati delle possibili conseguenze in caso di violazione di tale impegno.

1.3 Controllo dell’accesso alle aree di elaborazione

Le seguenti misure devono essere adottate per impedire a persone non autorizzate di accedere ai sistemi di trattamento dei dati (in particolare software e hardware) quando i dati personali sono trattati, archiviati o trasmessi :

a) istituire zone sicure ;

b) proteggere e restringere l’accesso ai sistemi di trattamento dei dati ;

c) definire autorizzazioni di accesso per dipendenti e terzi, nonché i relativi documenti ;

d) qualsiasi accesso ai centri di elaborazione dati in cui sono ospitati dati personali sarà registrato.

1.4 Controllo dell’accesso ai sistemi di trattamento dei dati

Le seguenti misure devono essere adottate per prevenire qualsiasi accesso non autorizzato ai sistemi di trattamento dei dati:

a) politiche e procedure di autenticazione degli utenti ;

b) utilizzo di password su tutti i sistemi informatici ;

c) l'accesso remoto alla rete richiede un’autenticazione a più fattori, ed è concesso al personale interessato in base alle responsabilità e previa autorizzazione ;

d) l'accesso a funzioni specifiche si basa su ruoli professionali e/o attributi assegnati individualmente all’account di un utente ;

e) i diritti di accesso relativi ai dati personali sono rivisti regolarmente ;

f) mantenere aggiornati i registri delle modifiche ai diritti di accesso.

1.4 Controllo dell’accesso a specifiche aree d’uso dei sistemi di trattamento dei dati

Le seguenti misure devono essere adottate affinché le persone autorizzate ad utilizzare il sistema di trattamento dei dati possano accedere solo ai dati pertinenti alle loro responsabilità e autorizzazioni di accesso, e affinché i dati personali non possano essere letti, copiati, modificati o cancellati senza autorizzazione:

a) politiche, istruzioni e formazione dei dipendenti riguardanti gli obblighi di ciascuno in materia di riservatezza, diritti di accesso ai dati personali e portata del trattamento dei dati personali;

b) misure disciplinari nei confronti delle persone che accedono ai dati personali senza autorizzazione ;

c) l'accesso ai dati personali sarà concesso solo alle persone autorizzate in base al principio del bisogno di conoscere ;

d) mantenere un elenco degli amministratori di sistema e adottare le misure pertinenti per monitorare gli amministratori di sistema ;

e) non copiare né riprodurre dati personali su tutti i sistemi di archiviazione, al fine di evitare che persone non autorizzate possano cancellare le informazioni dalla fonte originale ;

f) cancellazione controllata e documentata o distruzione dei dati ;

g) conservare in sicurezza tutti i dati personali da conservare per motivi legali o regolamentari (ad es., obblighi di conservazione dei dati), e solo per il periodo richiesto dalla legge.

1.6 Controllo delle trasmissioni

Le seguenti misure devono essere adottate per evitare che i dati personali siano letti, copiati, modificati o cancellati da terzi non autorizzati durante la trasmissione o il trasporto di dispositivi di memorizzazione dei dati (in funzione del trattamento effettuato sui dati personali) :

a) uso di firewall ;

b) evitare l’archiviazione di dati personali su dispositivi di memorizzazione mobili ai fini del trasporto, o cifrare i dispositivi c) usarli su laptop e altri dispositivi mobili solo dopo che la protezione tramite cifratura è stata attivata ;

d) registrazione delle trasmissioni dei dati personali.

1.7 Controllo delle immissioni

Le seguenti misure devono essere adottate per garantire che sia possibile verificare e determinare se i dati personali sono stati immessi nei sistemi di trattamento dei dati o cancellati, e da chi è stato effettuato il trattamento :

a) una politica di autorizzazione per la lettura, la modifica e la cancellazione dei dati archiviati ;

b) misure di protezione relative alla lettura, alla modifica e alla cancellazione dei dati archiviati.

1.8 Controllo del lavoro

In caso di trattamento delegato di dati personali, le seguenti misure devono essere adottate per garantire che tali dati siano trattati conformemente alle istruzioni del titolare :

a) entità o sottounità coinvolte nel trattamento dei dati scelte con cura (fornitori di servizi che trattano dati personali per conto del titolare);

b) istruzioni riguardanti l’ambito di qualsiasi trattamento dei dati personali ai dipendenti, alle entità o alle sottounità coinvolte nel trattamento dei dati ;

c) diritti di audit concordati con le entità o sottounità coinvolte nel trattamento dei dati

d) accordi in essere con le entità o sottounità coinvolte nel trattamento dei dati.

1,9 Separazione del trattamento per scopi diversi

Le seguenti misure devono essere adottate per garantire che i dati raccolti per altri scopi possano essere trattati separatamente :

a) separare l’accesso ai dati personali conformemente ai diritti vigenti degli utenti ;

b) interfacce, elaborazioni batch e report destinati ad altri obiettivi e funzioni, in modo che i dati raccolti per altri scopi possano essere trattati separatamente.

1.10 Pseudonimizzazione

Le seguenti misure devono essere adottate in materia di pseudonimizzazione dei dati personali :

a) Se l’Esportatore dei dati ordina un trattamento specifico o se ciò è ritenuto appropriato dall’importatore dei dati, e conformemente alle leggi vigenti in materia di protezione dei dati riguardo a determinate attività di trattamento, i dati personali saranno trattati in modo che non possano più essere attribuiti a una persona specifica senza l’uso di informazioni aggiuntive. Tali informazioni aggiuntive saranno conservate separatamente ;

b) uso di tecniche di pseudonimizzazione, inclusa la randomizzazione con liste di assegnazione ; creazione di valori in forma di hash.

1,11 Crittografia

Le seguenti misure devono essere adottate per cifrare i dati personali nell’ambito di applicazioni e trasmissioni che supportano la crittografia : a) uso di tecniche di crittografia ;

b) istituire la gestione della crittografia per supportare le tecniche autorizzate da utilizzare ;

c) sostenere l’uso della crittografia mediante procedure e protocolli per la generazione, la modifica, la revoca, la distruzione, la distribuzione, la certificazione, l’archiviazione, l’immissione, l’utilizzo e l’archiviazione delle chiavi crittografiche come protezione contro la modifica e la divulgazione non autorizzate.

1.12 Integrità dei sistemi di trattamento dei dati e dei servizi

Le seguenti misure devono essere adottate per garantire l’integrità dei sistemi di trattamento dei dati e dei servizi :

a) protezione dei sistemi di trattamento dei dati contro la manipolazione o la distruzione, tramite mezzi appropriati (es. software antivirus, software di prevenzione della perdita di dati e software contro malware, patch software, firewall e protezione gestita dei desktop) ;

b) vietare l’installazione di qualsiasi servizio o software dannoso per i sistemi di trattamento dei dati, i servizi o la manipolazione dei dati personali ;

c) uso di un sistema di rilevamento e prevenzione delle intrusioni nella rete all’interno della struttura di rete stessa.

1,14 Disponibilità dei sistemi di trattamento dei dati e dei servizi, nonché possibilità di ripristinare l’accesso e l’uso dei dati personali in caso di incidente materiale o tecnico

Le seguenti misure devono essere adottate per garantire la disponibilità dei sistemi di trattamento dei dati e per poter ripristinare rapidamente la disponibilità dei dati personali e il loro accesso in caso di incidente materiale o tecnico (incluso assicurare che i dati personali siano protetti contro qualsiasi distruzione o perdita accidentale):

a) disporre di controlli per conservare copie di backup e ripristinare i dati persi o cancellati ;

b) ridondanza infrastrutturale e test di funzionalità ;

c) protezione fisica delle risorse informatiche ;

d) uso di strumenti per monitorare lo stato e la disponibilità della rete interna ;

e) segnalazione degli incidenti e politiche di intervento che regolano la procedura di gestione degli incidenti, e reiterazione dell’adesione a tali politiche nel contesto della formazione periodica ;

f) backup (talvolta off-site) per ripristinare il sistema e permettergli di svolgere nuovamente le sue funzioni ;

g) piani di continuità operativa / di disaster recovery.

1.12 Resilienza dei sistemi di trattamento dei dati e dei servizi

Le seguenti misure devono essere adottate per garantire la resilienza dei sistemi di trattamento dei dati e dei servizi :

a) sistemi configurati in modo coerente, mediante parametri di sicurezza approvati ;

b) ridondanza della rete ;

c) protezione mediante isolamento dei sistemi critici.

1,16 Procedura per testare, valutare e giudicare regolarmente l’efficacia delle misure tecniche e organizzative volte ad assicurare la sicurezza del trattamento dei dati

Procedura per testare, valutare e giudicare regolarmente l’efficacia delle misure tecniche e organizzative volte a proteggere il trattamento dei dati

a) adottare le misure necessarie per valutare i rischi e le strategie di mitigazione ;

b) riunioni di analisi del servizio del reparto IT per affrontare le problematiche attuali ;

c) i piani di continuità operativa / di disaster recovery sono regolarmente aggiornati.

Parte 3

Firme delle parti e elenco degli Importatori dei dati

Al momento di compilare il modulo d'ordine online e di convalidarlo, selezionando la casella di accettazione dei termini e condizioni d'uso, il contratto che regola il rapporto tra il Cliente e IQUALIF è concluso. 

L’invio del pagamento a IQUALIF sarà sufficiente a considerare il contratto concluso.