Il Contratto quadro di servizio GDPRLocal e le Condizioni aggiuntive ivi contenute regolano i nostri prodotti, servizi e rapporti con i clienti.
Non è previsto alcun obbligo di acquisto dei servizi. Non è necessaria una carta di credito per registrarsi e, una volta effettuata la registrazione, i servizi possono essere acquistati e attivati in qualsiasi momento.
Ultimo aggiornamento: 3 novembre 2026
Il presente Accordo sul trattamento dei dati tra l’UE e il Regno Unito (“DPA”) integra l’accordo in base al quale GDPRLocal fornisce i Servizi al Cliente, sia che si tratti del Contratto quadro di servizi GDPRLocal o di un altro accordo, mandato o modulo d’ordine (l’“Accordo”) stipulato tra il cliente che sottoscrive il presente DPA (“Cliente”) e GDPRLocal Ltd., con sede legale in 1st Floor Front Suite, 27-29 North Street, Brighton, Inghilterra, BN1 1EB (la “Società”), per conto proprio e delle proprie affiliate. Con la sottoscrizione del DPA ai sensi della Sezione 11 del presente documento, il Cliente stipula il presente DPA per proprio conto e, nella misura richiesta dalle Leggi applicabili in materia di protezione dei dati (definite di seguito), a nome e per conto delle proprie Affiliate (definite di seguito). Il presente DPA incorpora i termini del Contratto, e qualsiasi termine non definito nel presente DPA avrà il significato indicato nel Contratto.
1.1Per “Affiliata” si intende (i) un’entità di cui una parte detenga, direttamente o indirettamente, il cinquanta per cento (50%) o più delle azioni o di altre partecipazioni azionarie, (ii) un’entità che detiene almeno il cinquanta per cento (50%) o più delle azioni o di altre partecipazioni azionarie di una parte, oppure (iii) un’entità che si trova sotto il controllo comune di una parte, in quanto almeno il cinquanta per cento (50%) o più delle azioni o di altre partecipazioni azionarie di tale entità e di una parte sono di proprietà della stessa persona; tuttavia, tale entità sarà considerata un’Affiliata solo fintantoché sussista tale proprietà.
1.2Per “Sub-responsabile del trattamento autorizzato” si intende un soggetto terzo che abbia necessità di conoscere o di accedere in altro modo ai Dati personali del Cliente per consentire alla Società di adempiere agli obblighi previsti dal presente DPA o dal Contratto, e che sia (1) indicato nell’Allegato B (4) oppure (2) successivamente autorizzato ai sensi della Sezione 4.2 del presente DPA.
1.3Per “Dati dell’account della Società” si intendono i dati personali relativi al rapporto della Società con il Cliente, inclusi i nomi o le informazioni di contatto delle persone autorizzate dal Cliente ad accedere al proprio account e le informazioni di fatturazione delle persone che il Cliente ha associato al proprio account. I Dati dell’account della Società includono inoltre qualsiasi dato che la Società possa dover raccogliere ai fini della gestione del proprio rapporto con il Cliente, della verifica dell’identità o come altrimenti richiesto dalle leggi e dai regolamenti applicabili.
1.4Per “Dati di utilizzo della Società” si intendono i dati relativi all’utilizzo del Servizio raccolti e trattati dalla Società in relazione alla fornitura dei Servizi, inclusi, a titolo esemplificativo ma non esaustivo, i dati utilizzati per identificare l’origine e la destinazione di una comunicazione, i registri delle attività e i dati utilizzati per ottimizzare e mantenere le prestazioni dei Servizi, nonché per indagare e prevenire abusi del sistema.
1.5Per “Esportatore di dati” si intende il Cliente, salvo nel caso di trasferimenti in uscita ai sensi della Sezione 6.7, in cui l’Esportatore di dati è la Società o l’Entità rappresentativa pertinente.
1.6Per “Importatore di dati” si intende la Società, salvo nel caso di trasferimenti verso paesi terzi ai sensi della Sezione 6.7, in cui il Cliente è l’Importatore di dati.
1.7Per “Leggi sulla protezione dei dati” si intendono tutte le leggi e i regolamenti applicabili in qualsiasi giurisdizione pertinente in materia di utilizzo o trattamento dei Dati personali, tra cui: (i) il California Consumer Privacy Act (“CCPA”), (ii) il Regolamento generale sulla protezione dei dati (Regolamento (UE) 2016/679) («GDPR UE») e il GDPR UE nella misura in cui esso costituisce parte integrante dell’ordinamento giuridico dell’Inghilterra e del Galles in virtù della sezione 3 dell’European Union (Withdrawal) Act 2018 (il «GDPR del Regno Unito») (insieme, collettivamente, il «GDPR»), (iii) la Legge federale svizzera sulla protezione dei dati del 25 settembre 2020 (la «LPD»); (iv) la legge britannica sulla protezione dei dati del 2018; (v) il regolamento del 2003 sulla privacy e le comunicazioni elettroniche (direttiva CE); (vi) la legge di Singapore sulla protezione dei dati personali del 2012 (la “PDPA”); e (vii) il Regolamento (UE) 2024/1689 che stabilisce norme armonizzate in materia di intelligenza artificiale (la “Legge UE sull’IA”), nella misura in cui si applichi al trattamento dei Dati Personali, ivi compreso il caso in cui la Società agisca in qualità di rappresentante autorizzato del Cliente ai sensi dell’articolo 22 o dell’articolo 54 della Legge UE sull’IA; in ciascun caso, nella versione aggiornata, modificata o sostituita di volta in volta. I termini «interessato», «dati personali», «violazione dei dati personali», «trattamento», «responsabile del trattamento», «titolare del trattamento» e «autorità di controllo» hanno il significato loro attribuito nel GDPR.
1.8Per “Comunicazioni del Responsabile della protezione dei dati” si intendono le richieste, i reclami e altre comunicazioni, nonché i Dati personali in esse contenuti, che le persone fisiche o le autorità di controllo inviano alla Società nella sua veste di responsabile della protezione dei dati del Cliente.
1.9Per “SCC dell’UE” si intendono le clausole contrattuali tipo approvate dalla Commissione europea con la Decisione 2021/914 del 4 giugno 2021, relative ai trasferimenti di dati personali verso paesi non altrimenti riconosciuti dalla Commissione europea come aventi un livello adeguato di protezione dei dati personali (come di volta in volta modificate e aggiornate), come modificate dalla Sezione 6.2 del presente DPA.
1.10Per “trasferimento al di fuori del SEE” si intende il trasferimento di dati personali, trattati in conformità al GDPR, dall’esportatore di dati all’importatore di dati (o presso la sua sede) al di fuori dello Spazio economico europeo (il “SEE”), e tale trasferimento non è disciplinato da una decisione di adeguatezza adottata dalla Commissione europea in conformità alle disposizioni pertinenti del GDPR.
1.11Per “trasferimento dal Regno Unito” si intende il trasferimento di dati personali disciplinati dal Capitolo V del GDPR del Regno Unito, trattati in conformità al GDPR del Regno Unito e al Data Protection Act 2018, dall’esportatore di dati all’importatore di dati (o presso la sua sede) al di fuori del Regno Unito (il “Regno Unito”), e tale trasferimento non è disciplinato da una decisione di adeguatezza adottata dal Segretario di Stato in conformità alle disposizioni pertinenti del GDPR del Regno Unito e del Data Protection Act 2018.
1.12Per “Trasferimento in uscita” si intende un trasferimento di Dati personali dalla Società o da un’Entità rappresentativa al Cliente, comprese le comunicazioni dei rappresentanti, le comunicazioni del Responsabile della protezione dei dati (DPO) e i Dati personali contenuti in prodotti finali, relazioni, pareri o altro materiale fornito al Cliente nel corso di qualsiasi Servizio.
1.13Per “Comunicazioni dei rappresentanti” si intendono le richieste, i reclami e altre comunicazioni, nonché i Dati personali in esse contenuti, che le persone fisiche o le autorità di controllo inviano a un’Entità rappresentante in relazione al Cliente.
1.14Per “Entità rappresentante” si intende, qualora il Cliente abbia attivato il relativo servizio di rappresentanza: (i) Instant EU GDPR Representative Limited (Irlanda), in qualità di rappresentante del Cliente ai sensi dell’articolo 27 del GDPR dell’UE; (ii) GDPRLocal Ltd, in qualità di rappresentante del Cliente ai sensi dell’articolo 27 del GDPR del Regno Unito; e (iii) ALTRION Sagl (Svizzera), in qualità di rappresentante del Cliente ai sensi dell’articolo 14 della FADP. Instant EU GDPR Representative Limited e ALTRION Sagl sono entità partner indipendenti e non sono affiliate alla Società.
1.15Il termine “Servizi” ha il significato indicato nel Contratto.
1.16Per “clausole contrattuali standard” si intendono le SCC dell’UE e le SCC del Regno Unito.
1.17Per “SCC del Regno Unito” si intendono le SCC dell’UE, come modificate dall’Addendum del Regno Unito.
1.18Per “Addendum del Regno Unito” si intende l’Addendum sul trasferimento internazionale dei dati alle Clausole contrattuali standard dell’UE (SCC) emanato dall’Information Commissioner ai sensi dell’articolo 119A del Data Protection Act 2018 (versione B1.0), come riportato nell’Allegato D.
2.1Le parti riconoscono e concordano che, per quanto riguarda il trattamento dei Dati Personali, il Cliente possa agire sia in qualità di titolare del trattamento che di responsabile del trattamento e che, salvo quanto espressamente indicato nel presente DPA o nel Contratto, la Società sia un responsabile del trattamento. Il Cliente, nell’utilizzo dei Servizi, dovrà in ogni momento trattare i Dati Personali e fornire istruzioni per il trattamento degli stessi in conformità con le Leggi sulla Protezione dei Dati. Il Cliente dovrà garantire che il trattamento dei Dati Personali in conformità alle proprie istruzioni non comporti una violazione delle Leggi sulla protezione dei dati da parte della Società. Il Cliente è l’unico responsabile dell’accuratezza, della qualità e della legalità (i) dei Dati Personali forniti alla Società dal Cliente o per suo conto, (ii) delle modalità con cui il Cliente ha acquisito tali Dati Personali e (iii) delle istruzioni fornite alla Società in merito al trattamento di tali Dati Personali. Il Cliente non fornirà né renderà disponibili alla Società dati personali in violazione del Contratto o comunque inappropriati alla natura dei Servizi e manleverà la Società da ogni pretesa e perdita ad essi connessa.
2.2La Società non tratterà i Dati Personali (i) per finalità diverse da quelle stabilite nel Contratto e/o nell’Allegato A, (ii) in modo non conforme ai termini e alle condizioni stabiliti nel presente DPA o in qualsiasi altra istruzione documentata fornita dal Cliente, anche per quanto riguarda i trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale, a meno che ciò non sia richiesto dalla normativa dell’UE o di uno Stato membro, oppure dalla normativa del Regno Unito o della Svizzera, a cui la Società è soggetta; in tal caso, la Società informerà il Cliente di tale obbligo di legge prima del trattamento, a meno che tale legge non vieti tale informazione per motivi importanti di interesse pubblico, o (iii) in violazione delle leggi sulla protezione dei dati. Il Cliente incarica con la presente la Società di trattare i Dati Personali in conformità a quanto sopra e nell’ambito di qualsiasi trattamento avviato dal Cliente nell’ambito del suo utilizzo dei Servizi. L’oggetto, la natura, la finalità e la durata del presente trattamento, nonché le tipologie di Dati Personali raccolti e le categorie di Interessati, sono descritti nell’Allegato A al presente DPA.
2.3Una volta completati i Servizi, a discrezione del Cliente, la Società provvederà a restituire o cancellare i Dati Personali del Cliente, a meno che l’ulteriore conservazione di tali Dati Personali non sia richiesta o autorizzata dalla legge applicabile. Qualora la restituzione o la distruzione risultino impraticabili o vietate da leggi, norme o regolamenti, la Società adotterà misure volte a impedire qualsiasi ulteriore trattamento di tali Dati Personali (salvo nella misura necessaria per il loro continuo hosting o trattamento richiesto da leggi, norme o regolamenti) e continuerà a proteggere adeguatamente i Dati Personali che rimangono in suo possesso, custodia o controllo. Qualora il Cliente e la Società abbiano stipulato le Clausole Contrattuali Standard di cui alla Sezione 6 (Trasferimenti di Dati Personali), le parti concordano che la certificazione di cancellazione dei Dati Personali descritta nella Clausola 8.1(d) e nella Clausola 8.5 delle SCC dell’UE (a seconda dei casi) sarà fornita dalla Società al Cliente solo su richiesta di quest’ultimo. Le comunicazioni del Rappresentante e quelle del Responsabile della protezione dei dati (DPO) vengono conservate sul portale della Società esclusivamente per riceverle e inoltrarle al Cliente. Sei (6) mesi dopo la chiusura di una richiesta, la Società notificherà al Cliente tramite il portale che i relativi file saranno cancellati, in modo che il Cliente possa scaricare le copie di cui ha bisogno, e provvederà quindi a cancellarli dal portale. Per tutti gli altri Servizi, la presente Sezione 2.3 si applica al termine di ciascun incarico.
2.4 CCPA.Fatta eccezione per i Dati dell’Account della Società e i Dati di Utilizzo della Società, le parti riconoscono e concordano che la Società è un fornitore di servizi ai fini del CCPA (nella misura in cui sia applicabile) e riceve informazioni personali dal Cliente al fine di fornire i Servizi ai sensi del Contratto, il che costituisce una finalità commerciale. La Società non venderà alcuna informazione personale. La Società non conserverà, utilizzerà né divulgherà alcuna informazione personale fornita dal Cliente ai sensi del Contratto, salvo nella misura necessaria allo scopo specifico di eseguire i Servizi per il Cliente ai sensi del Contratto, o comunque come indicato nel Contratto o come consentito dal CCPA. I termini «informazioni personali», «fornitore di servizi», «vendita» e «vendere» hanno il significato loro attribuito nella Sezione 1798.140 del CCPA. La Società attesta di aver compreso le restrizioni di cui alla Sezione 2.4.
2.5 Servizi del Responsabile della protezione dei dati (DPO).Laddove la Società agisca in qualità di responsabile della protezione dei dati del Cliente ai sensi dell’articolo 37 del GDPR, essa tratta i Dati personali in qualità di responsabile del trattamento del Cliente ai sensi del presente Accordo sui dati personali (DPA). Il Cliente deve garantire che la Società non riceva alcuna istruzione relativa all’esercizio delle funzioni di cui all’articolo 39 del GDPR (articolo 38, paragrafo 3, del GDPR). Ciò non pregiudica le istruzioni del Cliente di cui alla Sezione 2.2 relative al trattamento dei Dati Personali. La Società è tenuta al segreto o alla riservatezza in merito all’esercizio di tali funzioni, in conformità alla normativa applicabile (articolo 38, paragrafo 5, del GDPR). Nessuna disposizione del presente DPA limita la cooperazione della Società con le autorità di controllo e gli interessati, né il suo ruolo di punto di contatto nei loro confronti (articoli 38, paragrafo 4, e 39, paragrafo 1, lettere d) ed e) del GDPR).
3.1La Società dovrà garantire che qualsiasi soggetto da essa autorizzato al trattamento dei Dati Personali si sia impegnato a proteggere tali dati in conformità con gli obblighi di riservatezza della Società previsti dal Contratto. Il Cliente acconsente a che la Società possa divulgare i Dati Personali ai propri dipendenti, appaltatori, consulenti professionali e revisori dei conti, i quali sono vincolati da obblighi di riservatezza, nonché ai Sub-Responsabili del trattamento autorizzati ai sensi della Sezione 4, in ciascun caso solo nella misura ragionevolmente necessaria in relazione all’adempimento dei propri obblighi ai sensi del presente DPA, del Contratto o della fornitura dei Servizi al Cliente.
4.1Il Cliente riconosce e accetta che la Società possa (1) avvalersi delle proprie Affiliate nonché dei Sub-responsabili autorizzati presenti nell’Elenco (definito di seguito) per accedere e trattare i Dati Personali in relazione ai Servizi e (2) avvalersi di volta in volta di ulteriori soggetti terzi allo scopo di fornire i Servizi, incluso, a titolo esemplificativo ma non esaustivo, il trattamento dei Dati Personali. Con il presente DPA, il Cliente fornisce alla Società un’autorizzazione generale scritta a ricorrere a sub-responsabili del trattamento, nella misura necessaria all’esecuzione dei Servizi.
4.2L’elenco degli attuali sub-responsabili del trattamento autorizzati dalla Società (l’“Elenco”) è riportato nell’Allegato B(4). Tale Elenco potrà essere aggiornato dalla Società di volta in volta. La Società metterà a disposizione un meccanismo per informare regolarmente il Cliente in merito ai nuovi sub-responsabili autorizzati. Almeno quindici (15) giorni prima di consentire a qualsiasi terza parte, diversa dai sub-responsabili autorizzati esistenti, di accedere o partecipare al trattamento dei Dati Personali, la Società aggiungerà tale terza parte all’Elenco e ne darà comunicazione agli abbonati, compreso il Cliente, tramite le relative notifiche. Il Cliente può opporsi a tale coinvolgimento informando per iscritto la Società entro quindici (15) giorni dal ricevimento della comunicazione. Qualsiasi opposizione di questo tipo deve essere presentata per iscritto e basata su motivi ragionevoli relativi alla protezione dei dati. Il Cliente riconosce che alcuni sub-responsabili del trattamento sono essenziali per la fornitura dei Servizi e che opporsi all’utilizzo di un sub-responsabile del trattamento potrebbe impedire alla Società di offrire i Servizi al Cliente.
4.3Qualora il Cliente sollevi un’obiezione ragionevole in merito a un incarico ai sensi della Sezione 4.2 e la Società non sia in grado di fornire un’alternativa commercialmente ragionevole entro un termine ragionevole, il Cliente potrà interrompere l’utilizzo del Servizio interessato dandone comunicazione scritta alla Società. L’interruzione non esonera il Cliente dal pagamento dei corrispettivi dovuti alla Società ai sensi del Contratto.
4.4Qualora il Cliente non si opponga al ricorso a una terza parte ai sensi della Sezione 4.2 entro quindici (15) giorni dalla notifica da parte della Società, tale terza parte sarà considerata un sub-responsabile del trattamento autorizzato ai fini del presente DPA.
4.5La Società stipulerà un accordo scritto con il Sub-responsabile autorizzato, imponendo a quest’ultimo gli stessi obblighi in materia di protezione dei dati previsti per la Società ai sensi del presente DPA per quanto riguarda la protezione dei Dati personali. Nel caso in cui un Sub-responsabile autorizzato non adempia ai propri obblighi in materia di protezione dei dati previsti da tale accordo scritto con la Società, quest’ultima rimarrà responsabile nei confronti del Cliente per l’adempimento degli obblighi del Sub-responsabile autorizzato previsti da tale accordo.
4.6Qualora il Cliente e la Società abbiano stipulato le Clausole Contrattuali Standard descritte nella Sezione 6 (Trasferimenti di Dati Personali), (i) le autorizzazioni di cui sopra costituiranno il consenso scritto preventivo del Cliente al subappalto da parte della Società del trattamento dei Dati Personali, qualora tale consenso sia richiesto ai sensi delle Clausole Contrattuali Standard, e (ii) le parti concordano che le copie degli accordi con i Sub-responsabili autorizzati che la Società è tenuta a fornire al Cliente ai sensi della Clausola 9(c) delle Clausole Contrattuali Standard dell’UE possano essere preventivamente private dalla Società di informazioni commerciali o di informazioni non attinenti alle Clausole Contrattuali Standard o ai loro equivalenti, e che tali copie saranno fornite dalla Società solo su richiesta del Cliente.
4.7 Strumenti di intelligenza artificiale.I dipendenti della Società possono utilizzare gli strumenti di intelligenza artificiale elencati nell’Allegato B(4) per leggere, sintetizzare e redigere materiale per i Servizi. Ogni risultato viene revisionato da una persona prima dell’uso; nessuno strumento di intelligenza artificiale invia alcunché né intraprende alcuna azione senza la conferma umana; i Dati Personali del Cliente non vengono utilizzati per addestrare modelli di intelligenza artificiale. Il Cliente può, mediante comunicazione scritta, richiedere che i propri Dati Personali non vengano trattati utilizzando strumenti di IA; in tal caso, la Società gestirà il materiale senza ricorrervi a partire da cinque (5) giorni lavorativi successivi alla comunicazione.
5.1Tenendo conto dello stato dell’arte, dei costi di attuazione, della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché del rischio, di varia probabilità e gravità, per i diritti e le libertà delle persone fisiche, la Società adotterà misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio connesso al trattamento dei Dati Personali. L’Allegato C contiene ulteriori informazioni sulle misure di sicurezza tecniche e organizzative adottate dalla Società.
6.1Le parti concordano che la Società possa trasferire i Dati Personali trattati ai sensi del presente DPA al di fuori del SEE, del Regno Unito o della Svizzera, nella misura necessaria alla fornitura dei Servizi. Il Cliente riconosce che le principali operazioni di trattamento della Società hanno luogo nel Regno Unito e che il trasferimento dei Dati Personali del Cliente verso il Regno Unito è necessario per la fornitura dei Servizi al Cliente. Qualora la Società trasferisca Dati Personali protetti ai sensi del presente DPA verso una giurisdizione non coperta da una decisione di adeguatezza ai sensi delle Leggi sulla protezione dei dati, la Società garantirà che siano state implementate adeguate misure di salvaguardia per il trasferimento dei Dati Personali in conformità con le Leggi sulla protezione dei dati. I trasferimenti a sub-responsabili autorizzati in tali giurisdizioni vengono effettuati ai sensi delle Clausole Contrattuali Standard dell’UE (Modulo Tre) o, per i trasferimenti al di fuori del Regno Unito, delle Clausole Contrattuali Standard del Regno Unito, supportati da una valutazione d’impatto del trasferimento. L’ubicazione e il meccanismo di trasferimento utilizzato per ciascun sub-responsabile autorizzato sono indicati nell’Allegato B(4). La Società conserva le valutazioni d’impatto relative a tali trasferimenti e ne fornirà una sintesi su richiesta.
6.2 Trasferimenti al di fuori del SEE.Le parti concordano che i trasferimenti al di fuori del SEE siano effettuati in conformità alle Clausole contrattuali standard dell’UE, che si considerano stipulate (e incorporate nel presente Accordo sui trattamenti dei dati mediante il presente riferimento) e completate come segue:
6.2.1Il Modulo Uno (da titolare del trattamento a titolare del trattamento) delle Clausole contrattuali standard dell’UE si applica quando la Società tratta i dati personali in qualità di titolare del trattamento ai sensi della Sezione 9 del presente Accordo sui dati personali.
6.2.2Il Modulo Due (Dal Titolare del trattamento al Responsabile del trattamento) delle Clausole contrattuali standard dell’UE si applica quando il Cliente è il titolare del trattamento e la Società tratta i Dati personali per conto del Cliente in qualità di responsabile del trattamento ai sensi della Sezione 2 del presente Accordo sui dati personali.
6.2.3Il Modulo Tre (dal responsabile del trattamento al sub-responsabile del trattamento) delle Clausole contrattuali standard dell’UE si applica quando il Cliente è un responsabile del trattamento e la Società tratta i dati personali per conto del Cliente in qualità di sub-responsabile del trattamento.
6.3Per ciascun modulo, ove applicabile, si applica quanto segue:
6.3.1La clausola facoltativa relativa all’attracco di cui alla clausola 7 non si applica.
6.3.2Nella clausola 9 si applica l’opzione 2 (autorizzazione generale scritta) e il termine minimo per la comunicazione preventiva delle modifiche relative ai sub-responsabili del trattamento è quello stabilito nella sezione 4.2 del presente DPA;
6.3.3Alla clausola 13: qualora il Cliente abbia sede in uno Stato membro dell’UE, si applica la prima opzione; qualora il Cliente non abbia sede in uno Stato membro dell’UE e abbia nominato Instant EU GDPR Representative Limited come proprio rappresentante ai sensi dell’articolo 27, paragrafo 1, del GDPR dell’UE, si applica la seconda opzione e l’autorità di controllo competente è la Data Protection Commission (Irlanda); in ogni altro caso, si applica la terza opzione;
6.3.4Nella clausola 17 (Opzione 1), le clausole contrattuali standard dell’UE saranno regolate dalla legge irlandese.
6.3.5Ai sensi della clausola 18, lettera b), le controversie saranno risolte dinanzi ai tribunali irlandesi;
6.3.6L’Allegato B al presente Accordo sulla protezione dei dati (DPA) contiene le informazioni richieste nell’Allegato I e nell’Allegato III delle Clausole contrattuali standard dell’UE (SCC);
6.3.7L’Allegato C del presente Accordo sulla protezione dei dati (DPA) contiene le informazioni richieste nell’Allegato II delle Clausole contrattuali standard dell’UE; e
6.3.8Con la stipula del presente Accordo sulle misure di protezione dei dati (DPA), si ritiene che le parti abbiano sottoscritto le Clausole contrattuali standard dell’UE (SCC) qui incorporate, compresi i relativi allegati.
6.4 Trasferimenti al di fuori del Regno Unito.Le parti concordano che i trasferimenti al di fuori del Regno Unito siano effettuati in conformità alle SCC del Regno Unito, che si considerano stipulate e incorporate nel presente DPA per riferimento, e modificate e integrate in conformità all’Addendum del Regno Unito, che è incorporato nel presente documento come Allegato D del presente DPA.
6.5 Trasferimenti dalla Svizzera.Le parti concordano che i trasferimenti dalla Svizzera siano effettuati in conformità alle Clausole contrattuali standard dell’UE (SCC), con le seguenti modifiche:
6.5.1I termini «Regolamento generale sulla protezione dei dati» o «Regolamento (UE) 2016/679», così come utilizzati nelle clausole contrattuali standard dell’UE, devono essere interpretati in modo da includere la LPD per quanto riguarda i trasferimenti di dati soggetti alla LPD.
6.5.2La clausola 13 delle Clausole contrattuali standard dell’UE (SCC) è modificata per stabilire che il Commissario federale per la protezione dei dati e dell’informazione (“FDPIC”) della Svizzera abbia giurisdizione sui trasferimenti di dati disciplinati dalla FADP e che l’autorità di controllo competente dell’UE abbia giurisdizione sui trasferimenti di dati disciplinati dal GDPR. Fatto salvo quanto sopra, devono essere rispettati tutti gli altri requisiti della clausola 13.
6.5.3Il termine «Stato membro dell’UE», così come utilizzato nelle Clausole contrattuali standard dell’UE, non deve essere interpretato in modo tale da impedire agli interessati residenti in Svizzera di esercitare i propri diritti nel luogo di residenza abituale, conformemente alla clausola 18, lettera c), delle Clausole contrattuali standard dell’UE.
6.6 Misure supplementari.Per quanto riguarda qualsiasi trasferimento al di fuori del SEE o al di fuori del Regno Unito, si applicano le seguenti misure supplementari:
6.6.1Alla data del presente Accordo sugli aspetti relativi alla protezione dei dati (DPA), l’Importatore dei dati non ha ricevuto alcuna richiesta legale formale da parte di servizi o agenzie governative di intelligence o di sicurezza del Paese verso cui vengono esportati i Dati personali, volta ad ottenere l’accesso a (o copie dei) Dati personali del Cliente (“Richieste da parte di agenzie governative”);
6.6.2Qualora, dopo la data del presente DPA, la Società riceva richieste da parte di agenzie governative, la Società, in qualità di importatore di dati, cercherà di indirizzare le forze dell’ordine o l’agenzia governativa a richiedere tali dati direttamente al Cliente. Nell’ambito di tale impegno, la Società potrà fornire all’ente governativo le informazioni di contatto di base del Cliente. Qualora fosse costretta a divulgare i Dati Personali del Cliente a un’autorità di polizia o a un ente governativo, la Società dovrà dare al Cliente un preavviso ragionevole in merito alla richiesta e collaborare per consentire al Cliente di richiedere un’ordinanza cautelare o altro rimedio appropriato, a meno che ciò non le sia legalmente vietato. La Società non divulgherà volontariamente i Dati Personali a nessuna autorità di polizia o ente governativo. L’Esportatore di dati e l’Importatore di dati dovranno (non appena ragionevolmente possibile) discutere e determinare se tutti o alcuni trasferimenti di Dati personali ai sensi del presente DPA debbano essere sospesi alla luce di tali Richieste da parte di un’Agenzia governativa; e
6.6.3L’esportatore di dati e l’importatore di dati si riuniranno, se necessario, per valutare se:
(i) la protezione garantita dalle leggi del paese dell’importatore dei dati agli interessati i cui dati personali sono oggetto di trasferimento sia sufficiente a garantire una tutela sostanzialmente equivalente a quella garantita nel SEE o nel Regno Unito, a seconda dei casi;
(ii) siano ragionevolmente necessarie misure aggiuntive per garantire che il trasferimento sia conforme alle leggi sulla protezione dei dati; e
(iii) il trasferimento dei dati personali al destinatario del trasferimento in questione sia tuttora appropriato, tenuto conto di tutte le informazioni rilevanti a disposizione delle parti, nonché delle indicazioni fornite dalle autorità di controllo.
6.6.4Qualora (i) uno qualsiasi dei mezzi di legittimazione dei trasferimenti di Dati Personali al di fuori del SEE, del Regno Unito o della Svizzera, previsti dal presente DPA, cessi di essere valido oppure (ii) un’autorità di controllo richieda la sospensione dei trasferimenti di Dati Personali effettuati in base a tali modalità, l’Importatore dei Dati potrà, mediante comunicazione all’Esportatore dei Dati, con effetto a partire dalla data indicata in tale comunicazione, modificare o adottare misure alternative in relazione a tali trasferimenti, come previsto dalle Leggi sulla Protezione dei Dati.
6.7 Trasferimenti verso l’estero.Qualora il Cliente abbia sede in un Paese non oggetto di una decisione di adeguatezza ai sensi delle leggi sulla protezione dei dati, ai trasferimenti verso l’estero si applica quanto segue:
6.7.1Per i trasferimenti in uscita, la Società o l’Entità rappresentativa competente è l’esportatore dei dati che agisce in qualità di responsabile del trattamento, mentre il Cliente è l’importatore dei dati che agisce in qualità di titolare del trattamento.
6.7.2Qualora il Cliente non sia soggetto al GDPR dell’UE o al GDPR del Regno Unito per il trattamento in questione, i trasferimenti verso l’estero effettuati da Instant EU GDPR Representative Limited avvengono ai sensi delle Clausole contrattuali standard dell’UE (SCC), Modulo Quattro (dal responsabile del trattamento al titolare del trattamento), con riferimento alla legge e ai tribunali dell’Irlanda ai sensi delle clausole 17 e 18. Qualora i Dati Personali siano stati ricevuti dalla Società o da un’Entità Rappresentativa dal Cliente, le parti si avvalgono dell’eccezione prevista nella Sezione III delle Clausole Contrattuali Standard dell’UE relative al Modulo Quattro. Qualora i Dati abbiano origine in Europa, le parti si attengono integralmente alla Sezione III, compresa la valutazione d’impatto del trasferimento.
6.7.3Qualora il Cliente sia soggetto al GDPR dell’UE o al GDPR del Regno Unito ai sensi dell’articolo 3, paragrafo 2, che si applica a tutti i Clienti dei servizi di rappresentanza, il Cliente è direttamente vincolato dal GDPR per tale trattamento, e la Commissione Europea ha affermato che le SCC del 2021 non sono state concepite per gli importatori che si trovano in questa posizione (Domanda e risposta n. 24 della Commissione). Di conseguenza: [OPZIONE A: le parti concordano che le clausole del Modulo Quattro costituiscano garanzie contrattuali vincolanti in aggiunta agli obblighi diretti del Cliente ai sensi del GDPR, supportate da una valutazione d’impatto del trasferimento, e le sostituiranno con eventuali clausole contrattuali standard adottate dalla Commissione europea o dall’Information Commissioner per questo scenario entro sessanta (60) giorni dall’adozione; la Società non dichiara che tali clausole costituiscano un meccanismo di trasferimento approvato per questo scenario.] [OPZIONE B: I trasferimenti in uscita si basano su [la o le deroghe di cui all’articolo 49, paragrafo 1, del GDPR da specificare], in quanto trasferimenti occasionali necessari al Cliente per gestire le Comunicazioni in questione, con le clausole del Modulo Quattro come garanzie contrattuali.
6.7.4I trasferimenti in uscita effettuati dalla Società Ltd, sia in qualità di rappresentante nel Regno Unito, sia in qualità di responsabile della protezione dei dati, sia nell’ambito della fornitura di servizi di consulenza, di progetto, di formazione o di governance dell’intelligenza artificiale, vengono effettuati ai sensi delle Clausole contrattuali standard del Regno Unito (SCC), Modulo Quattro, come riportato nell’Allegato D.
6.7.5I trasferimenti effettuati da ALTRION Sagl sono regolati dalle Clausole contrattuali standard dell’UE (SCC), Modulo Quattro, come modificate dalla Sezione 6.4.
6.7.6Le informazioni richieste dall’Allegato I delle Clausole Contractuali Standard dell’UE (SCC) per tali trasferimenti sono riportate nell’Allegato B(5), mentre le misure di cui all’Allegato C si applicano alla Società e alle Entità Rappresentative.
6.7.7Ciascun Soggetto Rappresentativo accetta le Clausole Contrattuali Standard ai sensi della presente Sezione 6.7 mediante la firma del presente DPA, e l’accettazione del presente DPA da parte del Cliente costituisce la sua firma in qualità di Importatore di Dati.
6.7.8I dati personali che il Cliente invia alla Società o a un Soggetto Rappresentante da paesi al di fuori del SEE, del Regno Unito e della Svizzera non costituiscono un trasferimento soggetto a restrizioni ai sensi del GDPR o della FADP, e le Sezioni da 6.2 a 6.5 si applicano a tali dati solo nella misura prevista dalle leggi sulla protezione dei dati.
7.1La Società, nella misura consentita dalla legge, dovrà informare il Cliente al momento della ricezione e, in ogni caso, entro e non oltre tre (3) giorni lavorativi, di una richiesta da parte di un Interessato volta ad esercitare i propri diritti di: accesso, rettifica, cancellazione, portabilità dei dati, limitazione o cessazione del trattamento, revoca del consenso al trattamento e/o opposizione al trattamento che comporti un processo decisionale automatizzato (tali richieste, singolarmente e collettivamente, “Richieste dell’interessato”). Qualora la Società riceva una Richiesta dell’interessato relativa ai dati del Cliente, la Società inoltrerà tale richiesta al Cliente e quest’ultimo sarà responsabile di rispondere alla stessa, salvo diversamente concordato nell’Allegato ai Servizi applicabile. Il Cliente è l’unico responsabile di garantire che le Richieste dell’interessato approvate relative alla cancellazione, alla limitazione o alla cessazione del trattamento, o alla revoca del consenso al trattamento di qualsiasi Dato Personale, siano comunicate alla Società e, se del caso, di garantire che venga conservata una registrazione del consenso al trattamento per ciascun Interessato, salvo diversamente concordato nell’Allegato di Servizio applicabile.
7.2La Società, su richiesta del Cliente e tenendo conto della natura del trattamento applicabile a qualsiasi richiesta dell’interessato, adotterà misure tecniche e organizzative adeguate per assistere il Cliente nell’adempimento del proprio obbligo di rispondere a tale richiesta dell’interessato e/o nel dimostrare tale adempimento, ove possibile, a condizione che (i) il Cliente non sia in grado di rispondere autonomamente senza l’assistenza della Società e (ii) la Società sia in grado di farlo in conformità con tutte le leggi, le norme e i regolamenti applicabili. Il Cliente sarà responsabile, nella misura consentita dalla legge, di eventuali costi e spese derivanti da tale assistenza da parte della Società. Qualora il Cliente abbia attivato un servizio di rappresentanza o di responsabile della protezione dei dati, la ricezione e l’inoltro delle Comunicazioni del Rappresentante o del Responsabile della Protezione dei Dati (DPO) rientrano in tale servizio e non sono addebitabili ai sensi della presente Sezione 7.2. L’assistenza fornita nell’ambito di servizi di consulenza, di progetto o di formazione viene addebitata come stabilito nell’Allegato ai Servizi applicabile e nel Listino Prezzi.
8.1La Società, tenendo conto della natura del trattamento e delle informazioni a sua disposizione, fornirà al Cliente una cooperazione e un’assistenza ragionevoli, ove necessario, affinché il Cliente possa adempiere agli obblighi previsti dal GDPR relativi alla conduzione di una valutazione d’impatto sulla protezione dei dati e/o alla dimostrazione di tale conformità, a condizione che il Cliente non abbia altrimenti accesso alle informazioni pertinenti. Il Cliente sarà responsabile, nella misura consentita dalla legge, di eventuali costi e spese derivanti da tale assistenza fornita dalla Società.
8.2La Società, tenendo conto della natura del trattamento e delle informazioni a sua disposizione, fornirà al Cliente ragionevole collaborazione e assistenza in merito alla cooperazione e/o alla consultazione preventiva del Cliente con qualsiasi Autorità di controllo, ove necessario e ove richiesto dal GDPR. Il Cliente sarà responsabile, nella misura consentita dalla legge, di eventuali costi e spese derivanti da tale assistenza da parte della Società, salvo diversamente concordato nell’Allegato ai Servizi applicabile.
8.3La Società dovrà conservare la documentazione necessaria a dimostrare il rispetto degli obblighi previsti dal presente Accordo sui dati personali (DPA) e conservarla per un periodo di un (1) anno dalla cessazione del Contratto. Il Cliente avrà il diritto, previo preavviso ragionevole di almeno trenta (30) giorni lavorativi alla Società, di esaminare, verificare e copiare tale documentazione presso gli uffici della Società durante il normale orario di lavoro.
8.4Su richiesta scritta del Cliente a intervalli ragionevoli, e fatte salve ragionevoli misure di riservatezza, la Società dovrà (i) mettere a disposizione del Cliente, affinché possa esaminarle, copie delle certificazioni o delle relazioni che dimostrino la conformità della Società agli standard di sicurezza dei dati vigenti applicabili al trattamento dei Dati Personali del Cliente, oppure (ii) qualora la fornitura di relazioni o certificazioni ai sensi del punto (i) non risulti ragionevolmente sufficiente ai sensi delle Leggi sulla protezione dei dati, consentirà a un rappresentante terzo indipendente del Cliente di effettuare una verifica o un’ispezione dell’infrastruttura e delle procedure di sicurezza dei dati della Società, tale da dimostrare la conformità della Società agli obblighi previsti dalle Leggi sulla protezione dei dati, a condizione che (a) il Cliente fornisca un ragionevole preavviso scritto di tale richiesta di verifica e che tale ispezione non comporti un’interruzione irragionevole dell’attività della Società; (b) tale verifica sia effettuata esclusivamente durante l’orario di lavoro e non avvenga più di una volta per anno solare; e (c) tale verifica sia limitata ai dati relativi al Cliente. Il Cliente sarà responsabile dei costi di tali verifiche o ispezioni, incluso, a titolo esemplificativo ma non esaustivo, il rimborso alla Società del tempo impiegato per le verifiche in loco. Qualora il Cliente e la Società abbiano stipulato le Clausole Contrattuali Standard (CCS) descritte nella Sezione 6 (Trasferimenti di dati personali), le parti concordano che le verifiche descritte nella Clausola 8.9 delle CCS dell’UE saranno effettuate in conformità alla presente Sezione 8.4.
8.5La Società dovrà informare immediatamente il Cliente, e in ogni caso entro e non oltre 72 ore dal momento in cui ne venga a conoscenza, qualora ritenga che una istruzione violi le leggi sulla protezione dei dati.
8.6In caso di violazione dei dati personali, la Società dovrà, senza indebito ritardo e in ogni caso entro 48 ore dal momento in cui ne venga a conoscenza, informare il Cliente della violazione dei dati personali e adottare le misure che la Società, a sua esclusiva discrezione, ritenga necessarie e ragionevoli per porre rimedio alla violazione dei dati personali (nella misura in cui tale rimedio rientri nel ragionevole controllo della Società).
8.7In caso di violazione dei dati personali, la Società, tenendo conto della natura del trattamento e delle informazioni a sua disposizione, fornirà al Cliente la ragionevole collaborazione e assistenza necessarie affinché quest’ultimo possa adempiere agli obblighi previsti dal GDPR in merito alla notifica, senza indebito ritardo, (i) all’Autorità di controllo competente e (ii) agli interessati coinvolti in tale violazione dei dati personali.
8.8Qualora una violazione dei dati personali derivi da azioni od omissioni del Cliente, la Società sarà comunque tenuta a informare il Cliente ai sensi della Sezione 8.6, ma eventuali misure correttive ai sensi della Sezione 8.6 e l’assistenza ai sensi della Sezione 8.7 saranno a carico del Cliente. L’obbligo della Società di segnalare o rispondere a una violazione dei dati personali ai sensi delle Sezioni 8.6 e 8.7 non sarà interpretato come un riconoscimento da parte della Società di alcuna colpa o responsabilità in relazione alla violazione dei dati personali.
Le parti riconoscono e concordano che, per quanto riguarda i Dati dell’Account Aziendale e i Dati di Utilizzo Aziendali, la Società è un titolare del trattamento indipendente e non un titolare del trattamento congiunto con il Cliente. La Società tratterà i Dati dell’Account Aziendale e i Dati di Utilizzo Aziendali in qualità di titolare del trattamento (i) per gestire il rapporto con il Cliente; (ii) per svolgere le attività operative principali della Società, quali contabilità, revisioni contabili, preparazione e presentazione delle dichiarazioni fiscali e adempimenti normativi; (iii) per monitorare, indagare, prevenire e individuare frodi, incidenti di sicurezza e altri abusi dei Servizi, nonché per prevenire danni al Cliente; (iv) a fini di verifica dell’identità; (v) per ottemperare agli obblighi legali o normativi applicabili al trattamento e alla conservazione dei Dati Personali a cui la Società è soggetta; e (vi) come altrimenti consentito dalle Leggi sulla protezione dei dati e in conformità con il presente DPA e il Contratto. La Società può inoltre trattare i Dati di utilizzo della Società in qualità di titolare del trattamento per fornire, ottimizzare e mantenere i Servizi, nella misura consentita dalle Leggi sulla protezione dei dati. Qualsiasi trattamento effettuato dalla Società in qualità di titolare del trattamento dovrà essere conforme all’informativa sulla privacy della Società disponibile all’indirizzohttps://gdprlocal.com/terms/privacy-policy/
In caso di conflitto o incongruenza, l’ordine di precedenza sarà il seguente: (1) le Clausole Contrattuali Standard (compreso, per i Trasferimenti al di fuori del Regno Unito, l’Addendum del Regno Unito), per le questioni da esse espressamente disciplinate; (2) qualsiasi Registro di Attivazione del Servizio o altra modifica scritta concordata con il Cliente, ma solo nella misura in cui faccia espressamente riferimento a una disposizione del presente DPA e la modifichi; (3) il presente DPA; e (4) il Contratto, secondo l’ordine di precedenza ivi stabilito. L’informativa sulla privacy della Società si applica esclusivamente al trattamento effettuato dalla Società in qualità di titolare del trattamento ai sensi della Sezione 9 e non prevale su alcuno dei documenti sopra citati. Qualsiasi reclamo presentato in relazione al presente DPA è soggetto alle esclusioni e alle limitazioni di responsabilità stabilite nel Contratto, salvo nella misura in cui tali esclusioni o limitazioni limitino la responsabilità di una delle parti nei confronti degli Interessati, o non siano altrimenti consentite, ai sensi delle Clausole Contrattuali Standard o delle Leggi sulla protezione dei dati.
Il presente Accordo sul trattamento dei dati è incorporato nel Contratto e ne costituisce parte integrante. Il presente Accordo sul trattamento dei dati si riterrà sottoscritto al momento dell’accettazione o della sottoscrizione del Contratto da parte del Cliente, avrà inizio alla stessa data di entrata in vigore del Contratto e rimarrà in vigore a tutti gli effetti per tutta la durata del Contratto, nonché per il periodo aggiuntivo necessario alle Parti per adempiere ai rispettivi obblighi a seguito della risoluzione o della scadenza del Contratto, anche per quanto riguarda la cancellazione o la restituzione dei dati personali. Il presente Accordo è identificato dal numero di versione e dalla data di entrata in vigore indicati nell’intestazione. La Società darà al Cliente un preavviso di almeno quindici (15) giorni in caso di qualsiasi modifica al presente Accordo.
Natura e finalità del trattamento:La Società tratterà i Dati personali del Cliente nella misura necessaria a fornire i Servizi previsti dal Contratto, per le finalità specificate nel Contratto e nel presente DPA, e in conformità alle istruzioni del Cliente riportate nel presente DPA. La natura del trattamento comprende, a titolo esemplificativo ma non esaustivo:
Finalità per servizio:
Durata del trattamento:La Società tratterà i Dati personali del Cliente per tutto il tempo necessario (i) a fornire i Servizi al Cliente ai sensi del Contratto; oppure (ii) in conformità alla normativa applicabile. I Dati relativi all’account aziendale e i Dati relativi all’utilizzo aziendale saranno trattati e conservati secondo quanto stabilito nell’informativa sulla privacy della Società. Le comunicazioni del Rappresentante e quelle del Responsabile della protezione dei dati (DPO) saranno conservate secondo quanto previsto nella Sezione 2.3.
Categorie di interessati:dipendenti, consulenti, collaboratori esterni e/o agenti del Cliente; soggetti che presentano richieste relative ai diritti degli interessati a un’Entità Rappresentativa o alla Società in qualità di responsabile della protezione dei dati del Cliente; personale delle autorità di controllo che contatta un’Entità Rappresentativa o la Società in merito al Cliente; e soggetti i cui Dati Personali figurano in registri, documenti o sistemi che il Cliente mette a disposizione per i Servizi.
Categorie di dati personali:il Cliente può trasmettere dati personali ai Servizi; le categorie di tali dati dipenderanno dall’utilizzo dei Servizi da parte del Cliente, che è determinato e controllato dal Cliente a sua esclusiva discrezione, e possono includere, a titolo esemplificativo ma non esaustivo, nomi, cognomi, numero di telefono, indirizzo e-mail aziendale, informazioni di contatto, indirizzo, ruoli e qualifiche professionali, informazioni finanziarie o qualsiasi altra informazione fornita da persone fisiche che presentano richieste relative ai diritti degli interessati, il contenuto delle Comunicazioni dei Rappresentanti e delle Comunicazioni del Responsabile della Protezione dei Dati (DPO), compresi i materiali di verifica dell’identità e i riferimenti ai casi delle autorità di controllo; i Dati Personali contenuti nei registri di trattamento, nelle valutazioni d’impatto sulla protezione dei dati, nei registri delle violazioni, nei fascicoli relativi alle richieste degli interessati, nei contratti e in altri documenti forniti dal Cliente per la revisione; nonché nomi e recapiti dei partecipanti ai corsi di formazione. Inoltre, i Dati dell’account aziendale e i Dati di utilizzo aziendale saranno raccolti, trattati e conservati in conformità con il presente DPA.
Dati sensibili o categorie particolari di dati:non è previsto alcun trasferimento regolare di dati sensibili. Tuttavia, qualora fossimo incaricati di agire per conto del Cliente attraverso i nostri servizi, potremmo dover trasferire i dati sensibili in questione, oppure un interessato potrebbe includerli in modo imprevisto nelle comunicazioni inviate per esercitare i propri diritti in qualità di interessato.
Frequenza del trasferimento:continua per tutta la durata dei Servizi. Le comunicazioni dei rappresentanti e quelle del responsabile della protezione dei dati (DPO) vengono trasferite su base ad hoc, man mano che vengono ricevute; gli altri dati personali vengono trasferiti secondo necessità per ciascun incarico.
Di seguito sono riportate le informazioni richieste dall’Allegato I e dall’Allegato III delle Clausole Contrattuali Standard dell’UE, nonché dalla Tabella 1, dall’Allegato 1A e dall’Allegato 1B dell’Addendum del Regno Unito.
Esportatore/i dei dati:
Nome: Come indicato nel Contratto.
Ragione sociale (se diversa): Come indicato nel Contratto.
Indirizzo: Come indicato nel Contratto.
Numero di registrazione ufficiale (se presente) (numero di registrazione della società o identificativo simile): Come indicato nel Contratto.
Nome, qualifica e recapiti della persona di contatto: Come indicato nel Contratto.
Ruolo (titolare del trattamento/responsabile del trattamento): Titolare del trattamento o responsabile del trattamento, a seconda di quanto applicabile ai sensi della Sezione 6.2
Importatore/i dei dati:
Nome: GDPRLocal Ltd
Ragione sociale (se diversa): GDPRLocal
Indirizzo: 1st Floor Front Suite, 27-29 North Street, Brighton, Inghilterra, BN1 1EB
Numero di registrazione ufficiale (se presente) (numero della società o identificativo simile): 12969035 (Inghilterra e Galles)
Nome, carica e recapiti della persona di contatto: [email protected]; Responsabile della protezione dei dati: Lejla Robeli
Ruolo (titolare del trattamento/responsabile del trattamento): Responsabile del trattamento (titolare del trattamento per i dati relativi all’account aziendale e ai dati di utilizzo dell’azienda ai sensi della Sezione 9)
Per i trasferimenti verso l’estero ai sensi della Sezione 6.7, la Società o l’Entità Rappresentante competente è l’esportatore dei dati, mentre il Cliente è l’importatore dei dati: si veda l’Allegato B(5).
| Gli interessati | Come descritto nell’Allegato A dell’accordo di rinuncia all’azione penale (DPA) |
| Categorie di dati personali | Come descritto nell’Allegato A dell’accordo di rinuncia all’azione penale (DPA) |
| Dati personali di categoria speciale (se applicabile) | Come descritto nell’Allegato A dell’accordo di rinuncia all’azione penale (DPA) |
| Natura del trattamento | Come descritto nell’Allegato A dell’accordo di rinuncia all’azione penale (DPA) |
| Finalità del trattamento | Come descritto nell’Allegato A dell’accordo di rinuncia all’azione penale (DPA) |
| Durata del trattamento e conservazione dei dati (o criteri per determinare tale periodo) | Come descritto nell’Allegato A dell’accordo di rinuncia all’azione penale (DPA) |
| Frequenza del trasferimento | Come descritto nell’Allegato A dell’accordo di rinuncia all’azione penale (DPA) |
| Destinatari dei dati personali trasferiti all’importatore dei dati | Elencato nell’Allegato B(4) del DPA |
L’autorità di controllo competente è determinata in conformità alla Clausola 13 delle Clausole Contrattuali Standard dell’UE (SCC), come integrata dalla Sezione 6.2. Qualora il Cliente non sia stabilito nel SEE e abbia nominato Instant EU GDPR Representative Limited come proprio rappresentante, l’autorità di controllo competente è la Commissione per la protezione dei dati (Irlanda). Per i trasferimenti soggetti alla FADP, è l’FDPIC. L’autorità di controllo ai fini dell’Addendum del Regno Unito è l’Information Commissioner’s Office del Regno Unito.
| Sistema/Applicazione | Scopo |
|---|---|
| Microsoft | Posta elettronica, produttività, collaborazione |
| Azure | Fornitore di servizi cloud |
| Posta elettronica, gestione dei documenti, archiviazione, strumenti di collaborazione, videoconferenze | |
| Chargify | Fatturazione e gestione degli abbonamenti |
| Calendly | Organizzazione di riunioni e appuntamenti |
| Docusign | Firma elettronica e gestione dei contratti |
| HubSpot | Gestione delle relazioni con i clienti |
| Zoom | Organizzazione di riunioni virtuali e sessioni di formazione |
| GDPRLocal DOOEL | Operazioni aziendali interne, tra cui la ricezione, la registrazione e l’inoltro delle comunicazioni dei rappresentanti e dei responsabili della protezione dei dati (DPO), nonché la fornitura di servizi relativi ai DPO, di consulenza e di progetto. Sede: Macedonia del Nord. Meccanismo di trasferimento: Clausole contrattuali standard dell’UE (Modulo Tre) e del Regno Unito, con una valutazione d’impatto sul trasferimento. |
| Atlassian (JIRA, Confluence) | Gestione della documentazione tecnica e di prodotto |
| Anthropic (Claude) | Assistente basato sull’intelligenza artificiale utilizzato dal personale della Società per leggere, sintetizzare e redigere documenti e corrispondenza; ogni risultato viene revisionato da una persona prima dell’utilizzo. Sede: Stati Uniti. Meccanismo di trasferimento: Clausole contrattuali standard dell’UE (SCC) e Addendum del Regno Unito nell’Addendum sul trattamento dei dati di Anthropic. I contenuti dei clienti non vengono utilizzati per addestrare i modelli. |
| Composio, Inc. | Servizio di integrazione che collega l’assistente AI a Google Workspace dell’azienda (Gmail, Calendar, Drive) per recuperare informazioni e salvare bozze. Ubicazione: Stati Uniti. Meccanismo di trasferimento: Clausole contrattuali standard dell’UE (SCC) e Addendum del Regno Unito. |
| Instant EU GDPR Representative Limited (entità partner, non affiliata) | Rappresentante dell’UE ai sensi dell’articolo 27 del GDPR dell’UE, ove applicabile. Sede: Irlanda. |
| ALTRION Sagl (entità partner, non affiliata) | Rappresentante svizzero ai sensi dell’articolo 14 della FADP, qualora attivato. Sede: Svizzera. |
Esportatori di dati:GDPRLocal Ltd (responsabile della protezione dei dati, consulenza, servizi di progetto, formazione e governance dell’intelligenza artificiale, nonché servizi di rappresentanza nel Regno Unito) e gli Enti di rappresentanza (servizi di rappresentanza nell’UE e in Svizzera). Ruolo: Responsabile del trattamento.
Importatore dei dati:il Cliente, come indicato nel Contratto. Ruolo: Titolare del trattamento.
Interessati:persone fisicheche contattano un’Entità Rappresentativa o la Società in qualità di responsabile della protezione dei dati del Cliente; personale delle autorità di controllo; persone fisiche i cui dati personali figurano nei risultati finali, nelle relazioni o nei pareri forniti al Cliente.
Categorie di dati personali:dati identificativi e di contatto; contenuto della richiesta, del reclamo o della corrispondenza; documentazione fornita dall’interessato ai fini della verifica dell’identità; riferimenti relativi ai casi trattati dall’autorità di controllo; dati personali contenuti nei risultati finali, nelle relazioni o nelle consulenze fornite al Cliente.
Dati di categoria speciale:non previsti. Eventuali dati di categoria speciale forniti volontariamente da un individuo vengono inoltrati così come ricevuti e non vengono altrimenti trattati.
Frequenza:su base ad hoc, man mano che pervengono le comunicazioni.
Natura e finalità:ricezione, registrazione e inoltro sicuro delle comunicazioni al Cliente, nonché restituzione dei risultati finali, al fine di svolgere la funzione di rappresentante (articolo 27 del GDPR dell’UE o del GDPR del Regno Unito, oppure articolo 14 della FADP), la funzione di responsabile della protezione dei dati (articoli da 37 a 39 del GDPR), oppure servizi di consulenza, progetto, formazione e governance dell’intelligenza artificiale.
Conservazione:come indicato nella Sezione 2.3.
Autorità di controllo competente:non applicabile al Modulo Quattro.
Il responsabile del trasferimento dei dati ha adottato e si impegna a mantenere misure tecniche e organizzative adeguate volte a proteggere i dati personali da distruzione, perdita, alterazione, divulgazione non autorizzata o accesso non autorizzato accidentali o illeciti, nonché a preservare la riservatezza, l’integrità e la disponibilità dei dati personali trattati per conto del Cliente.
Tali misure comprendono:
I dati personali sono archiviati in un database Microsoft SQL Server crittografato, ospitato in un data center Microsoft Azure situato a Londra, nel Regno Unito.
L’accesso ai dati personali è consentito esclusivamente tramite le piattaforme interne della Società. L’accesso è negato per impostazione predefinita e concesso solo al personale autorizzato in base alla necessità di conoscere, compresi i team competenti ove richiesto. La Società applica controlli di autenticazione basati sui ruoli e sugli utenti per limitare l’accesso in base alle responsabilità lavorative. Il personale di GDPRLocal DOOEL nella Macedonia del Nord accede ai dati personali da remoto, soggetto agli stessi controlli.
Vengono applicati adeguati controlli logici di accesso per garantire che l’accesso ai dati personali sia limitato in conformità con la struttura organizzativa e le responsabilità funzionali della Società. La Società utilizza autorizzazioni basate sui ruoli per assegnare diversi livelli di accesso ai dipendenti in base alle loro mansioni.
L'autenticazione a più fattori è obbligatoria per tutti gli utenti amministrativi che accedono al portale aziendale.
I dati personali vengono crittografati sia durante il trasferimento che quando sono archiviati. Inoltre, tutti i computer utilizzati per scopi aziendali sono protetti da dischi rigidi crittografati.
La Società ha implementato adeguati controlli di accesso fisico in tutte le proprie sedi al fine di proteggere le risorse di dati. I data center Microsoft Azure utilizzati dalla Società sono soggetti a rigorose misure di sicurezza fisica. Ulteriori informazioni relative alla sicurezza fisica di Azure sono disponibili nella documentazione pubblicata da Microsoft.
La Società stipula accordi di trattamento dei dati con i propri sub-responsabili autorizzati, che impongono loro gli stessi obblighi in materia di protezione dei dati previsti dal presente Accordo sul trattamento dei dati (DPA).
La Società ha adottato misure volte a garantire la responsabilità, tra cui l’attuazione di politiche in materia di protezione dei dati e sicurezza delle informazioni a livello aziendale, procedure per la registrazione e la segnalazione delle violazioni dei dati personali, nonché l’attribuzione formale di ruoli e responsabilità per le funzioni relative alla sicurezza delle informazioni e alla privacy dei dati. La Società effettua inoltre valutazioni periodiche dei fornitori per verificare la conformità ai propri standard in materia di privacy e sicurezza.
La Società attua un programma di sicurezza che comprende misure di protezione amministrative, organizzative, tecniche e fisiche, ragionevolmente concepite per proteggere i Servizi e garantire la riservatezza, l’integrità e la disponibilità dei Dati personali.
L'azienda esegue regolarmente il backup dei dati. Il ripristino dei backup viene testato periodicamente in conformità con le politiche aziendali in materia di sicurezza delle informazioni e gestione dei dati.
Addendum sul trasferimento internazionale dei dati alle clausole contrattuali tipo della Commissione europea
Tabella 1: Parti
| Le parti | Esportatore | Importatore |
|---|---|---|
| Data di inizio | La presente Appendice relativa al Regno Unito avrà la stessa data di entrata in vigore del DPA | |
| Dati delle parti | Cliente | GDPRLocal Ltd |
| Referente principale | Si veda l’Allegato B del presente Accordo di non perseguibilità (DPA) | Si veda l’Allegato B del presente Accordo di non perseguibilità (DPA) |
Tabella 2: SCC selezionati, moduli e clausole selezionate
| Clausole standard di contratto dell'UE | La versione delle Clausole contrattuali standard dell’UE approvate a cui è allegata la presente Appendice del Regno Unito, come definita nel DPA e integrata dalle Sezioni 6.2 e 6.3 del DPA (Moduli da uno a tre) e dalla Sezione 6.7 del DPA (Modulo quattro). |
Tabella 3: Informazioni sull'appendice
Per “Informazioni dell’Appendice” si intendono le informazioni che devono essere fornite per i moduli selezionati, come indicato nell’Appendice delle Clausole Contrattuali Standard dell’UE approvate (ad eccezione delle Parti), e che, ai fini del presente Addendum del Regno Unito, sono riportate in:
| a) Allegato 1A: Elenco delle Parti | b) Come indicato nella Tabella 1 sopra riportata |
| c) Allegato 1B: Descrizione del trasferimento | d) Si veda l’Allegato B del presente DPA |
| e) Allegato II: Misure tecniche e organizzative, comprese quelle volte a garantire la sicurezza dei dati: | f) Cfr. l’Allegato C del presente DPA |
| g) Allegato III: Elenco dei sub-responsabili del trattamento (solo moduli 2 e 3): | h) Si veda l’Allegato B del presente Accordo di trattamento dei dati (DPA) |
Tabella 4: Cessazione della validità della presente appendice relativa al Regno Unito in caso di modifiche approvate alla stessa
| Chiusura della presente Appendice per il Regno Unito in caso di modifiche all’Appendice per il Regno Unito approvata | ☒ Importatore ☐ Esportatore ☒ Nessuna delle due parti |
Per aderire al presente Addendum per il Regno Unito:
1.Ciascuna parte accetta di essere vincolata dai termini e dalle condizioni stabiliti nel presente Addendum per il Regno Unito, a condizione che anche l’altra parte accetti di essere vincolata dal presente Addendum per il Regno Unito.
2.Sebbene l’Allegato 1A e la Clausola 7 delle SCC UE approvate richiedano la firma delle Parti, ai fini dell’effettuazione di trasferimenti dal Regno Unito, le Parti possono stipulare il presente Addendum del Regno Unito in qualsiasi modo che lo renda giuridicamente vincolante per le Parti e consenta agli interessati di far valere i propri diritti come stabilito nel presente Addendum del Regno Unito. La sottoscrizione del presente Addendum per il Regno Unito avrà lo stesso effetto della firma delle Clausole Contrattuali Standard dell’UE approvate e di qualsiasi parte delle stesse.
Interpretazione della presente appendice relativa al Regno Unito
3.Laddove la presente Appendice per il Regno Unito utilizzi termini definiti nelle Clausole Contrattuali Standard dell’UE approvate, tali termini avranno lo stesso significato attribuito loro nelle Clausole Contrattuali Standard dell’UE approvate. Inoltre, i seguenti termini hanno il significato indicato di seguito:
| Appendice per il Regno Unito | ciò significa che il presente Addendum sul trasferimento internazionale dei dati incorpora le Clausole contrattuali standard dell’UE, allegate all’Accordo sull’elaborazione dei dati (DPA) come Allegato D. |
| Clausole standard di contratto dell'UE | indica la versione o le versioni delle Clausole contrattuali standard dell’UE approvate alle quali è allegato il presente Addendum del Regno Unito, come indicato nella Tabella 2, comprese le informazioni contenute nell’Appendice |
| Informazioni sull'appendice | sarà quello indicato nella Tabella 3 |
| Misure di salvaguardia adeguate | indica lo standard di protezione dei dati personali e dei diritti degli interessati previsto dalle leggi britanniche sulla protezione dei dati quando si effettua un trasferimento al di fuori del Regno Unito avvalendosi delle clausole standard di protezione dei dati ai sensi dell’articolo 46, paragrafo 2, lettera d), del GDPR britannico. |
| Addendum approvato nel Regno Unito | indica il modello di Addendum emanato dall’ICO e presentato al Parlamento in conformità con l’articolo 119A del Data Protection Act 2018 il 2 febbraio 2022, come eventualmente modificato ai sensi dell’articolo 18 dell’Addendum del Regno Unito. |
| Clausole contrattuali standard (SCC) approvate dall'UE | indica le clausole contrattuali tipo approvate dalla Commissione europea con la Decisione 2021/914 del 4 giugno 2021, relative ai trasferimenti di dati personali verso paesi non altrimenti riconosciuti dalla Commissione europea come aventi un livello adeguato di protezione dei dati personali (come di volta in volta modificate e aggiornate). |
| ICO | indica il Commissario per l’informazione del Regno Unito. |
| Trasferimento dall'ex Regno Unito | avrà la stessa definizione prevista dal DPA. |
| Regno Unito | indica il Regno Unito di Gran Bretagna e Irlanda del Nord |
| Legislazione britannica in materia di protezione dei dati | indica tutte le leggi in materia di protezione dei dati, trattamento dei dati personali, privacy e/o comunicazioni elettroniche di volta in volta in vigore nel Regno Unito, compresi il GDPR del Regno Unito e il Data Protection Act 2018. |
| GDPR del Regno Unito | avrà il significato indicato nel DPA. |
4.L’Addendum per il Regno Unito deve essere sempre interpretato in modo coerente con le leggi del Regno Unito in materia di protezione dei dati e in modo tale da adempiere all’obbligo delle Parti di fornire le garanzie adeguate.
5.Qualora le disposizioni contenute nell’Addendum del Regno Unito modifichino le SCC approvate dall’UE in qualsiasi modo non consentito dalle SCC approvate dall’UE o dall’Addendum del Regno Unito approvato, tali modifiche non saranno incorporate nell’Addendum del Regno Unito e al loro posto si applicherà la disposizione equivalente delle SCC approvate dall’UE.
6.In caso di incongruenze o conflitti tra le leggi britanniche in materia di protezione dei dati e l’Addendum britannico, prevarranno le leggi britanniche in materia di protezione dei dati.
7.Qualora il significato dell’Addendum per il Regno Unito non fosse chiaro o vi fossero più interpretazioni possibili, si applicherà il significato che meglio si allinea alle leggi britanniche in materia di protezione dei dati.
8.Qualsiasi riferimento alla normativa (o a specifiche disposizioni di legge) implica che tale normativa (o specifica disposizione) possa subire modifiche nel tempo. Ciò vale anche nei casi in cui tale normativa (o specifica disposizione) sia stata consolidata, ripristinata e/o sostituita successivamente alla stipula dell’Addendum del Regno Unito.
Gerarchia
9.Sebbene la clausola 5 delle SCC UE approvate stabilisca che queste ultime prevalgano su tutti gli accordi correlati tra le parti, le parti concordano che, per i trasferimenti al di fuori del Regno Unito, prevarrà la gerarchia indicata nella Sezione 10 di seguito.
10.In caso di incongruenze o conflitti tra l’Addendum approvato per il Regno Unito e le Clausole contrattuali standard dell’UE (a seconda dei casi), l’Addendum approvato per il Regno Unito prevale sulle Clausole contrattuali standard dell’UE, salvo nei casi in cui (e nella misura in cui) le disposizioni incongruenti o in conflitto delle Clausole contrattuali standard dell’UE garantiscano una maggiore protezione agli interessati, nel qual caso tali disposizioni prevarranno sull’Addendum approvato per il Regno Unito.
11.Laddove il presente Addendum del Regno Unito incorpori le Clausole contrattuali standard dell’UE (SCC) stipulate per proteggere i trasferimenti al di fuori dell’UE soggetti al GDPR, le parti riconoscono che nessuna disposizione del presente Addendum del Regno Unito incide su tali SCC.
Costituzione e modifiche alle clausole contrattuali standard dell’UE (SCC):
12.La presente appendice relativa al Regno Unito incorpora le clausole contrattuali standard dell’UE, modificate nella misura necessaria affinché:
13.A meno che le parti non abbiano concordato modifiche alternative che soddisfino i requisiti di cui alla Sezione 12 del presente Addendum per il Regno Unito, si applicheranno le disposizioni della Sezione 15 del presente Addendum per il Regno Unito.
14.Non è consentito apportare alcuna modifica alle clausole contrattuali standard (SCC) approvate dall’UE, se non quelle necessarie per soddisfare i requisiti di cui alla Sezione 12 del presente Addendum del Regno Unito.
15.Vengono apportate le seguenti modifiche alle clausole contrattuali standard dell’UE (ai fini della Sezione 12 del presente Addendum del Regno Unito):
Modifiche all’Addendum del Regno Unito
16.Le parti possono concordare di modificare le clausole 17 e/o 18 delle SCC dell’UE in modo da fare riferimento alle leggi e/o ai tribunali della Scozia o dell’Irlanda del Nord.
17.Qualora le parti desiderino modificare il formato delle informazioni contenute nella Parte 1: Tabelle dell’Addendum approvato per il Regno Unito, possono farlo concordando la modifica per iscritto, a condizione che tale modifica non riduca le garanzie adeguate.
18.Di tanto in tanto, l’ICO può pubblicare una versione aggiornata dell’Addendum approvato per il Regno Unito che:
L’Addendum approvato per il Regno Unito nella versione aggiornata specificherà la data di decorrenza a partire dalla quale le modifiche apportate all’Addendum approvato per il Regno Unito entreranno in vigore e se le parti dovranno riesaminare il presente Addendum per il Regno Unito, comprese le informazioni contenute nell’Appendice. Il presente Addendum per il Regno Unito sarà automaticamente modificato secondo quanto stabilito nell’Addendum approvato per il Regno Unito nella versione aggiornata a partire dalla data di decorrenza specificata.
19.Qualora l’ICO emetta un’Addendum approvata per il Regno Unito rivista ai sensi della Sezione 18 della presente Addendum per il Regno Unito, se una parte, come conseguenza diretta delle modifiche apportate all’Addendum approvata per il Regno Unito, subisca un aumento sostanziale, sproporzionato e dimostrabile in:
e, in entrambi i casi, qualora abbia prima adottato misure ragionevoli per ridurre tali costi o rischi in modo che non risultino sostanziali e sproporzionati, tale parte potrà rescindere il presente Addendum per il Regno Unito al termine di un periodo di preavviso ragionevole, dandone comunicazione scritta all’altra parte prima della data di entrata in vigore dell’Addendum per il Regno Unito approvato e modificato.
20.Le parti non necessitano del consenso di terzi per apportare modifiche al presente Addendum per il Regno Unito, ma eventuali modifiche devono essere apportate in conformità con i termini ivi previsti.