Il Contratto quadro di servizio GDPRLocal e le Condizioni aggiuntive ivi contenute regolano i nostri prodotti, servizi e rapporti con i clienti.
Non è previsto alcun obbligo di acquisto dei servizi. Non è necessaria una carta di credito per registrarsi e, una volta effettuata la registrazione, i servizi possono essere acquistati e attivati in qualsiasi momento.
Il presente Allegato costituisce parte integrante del Contratto quadro di prestazione di servizi (“Contratto”) stipulato tra il Cliente e GDPRLocal Ltd (“GDPRLocal”). Esso definisce l’ambito dei servizi relativi al rappresentante in Svizzera ai sensi dell’articolo 14 che GDPRLocal è tenuta a fornire (tramite il rappresentante designato). I termini utilizzati nel presente Allegato hanno lo stesso significato attribuito loro nel Contratto quadro di prestazione di servizi.
In caso di conflitto tra il presente Allegato e il Contratto quadro di servizi, prevarrà il presente Allegato.
1.1 Designazione. A decorrere dalla Data di inizio del servizio, il Cliente nomina il Rappresentante designato affinché agisca in qualità di suo rappresentante in Svizzera ai sensi dell’articolo 14 della Legge federale svizzera sulla protezione dei dati (“LPD”). Il presente Allegato costituisce il mandato scritto richiesto ai sensi dell’articolo 14 LPD. Il Rappresentante Designato accetta tale nomina e si impegna a prestare i servizi di rappresentanza descritti nel presente Allegato in conformità all’articolo 14 LPD. Il mandato non conferisce l’autorità di prendere decisioni sostanziali per conto del Cliente in merito alle attività di trattamento, di vincolare il Cliente a qualsiasi impegno di conformità, né di agire in qualità di rappresentante legale in contenziosi o procedimenti esecutivi.
1.2 Articolo 14: Obblighi del rappresentante in Svizzera. Ai sensi dell’articolo 14 della FADP, GDPRLocal dovrà (tramite il rappresentante designato):
fungere da punto di contatto per il Commissario federale per la protezione dei dati e dell’informazione (FDPIC) e per qualsiasi altra autorità di controllo competente su tutte le questioni relative alle attività di trattamento rientranti nel mandato in questione;
fungere da punto di contatto per gli interessati in Svizzera in merito a questioni relative a tali attività di trattamento;
ricevere e trasmettere le comunicazioni indirizzate al Rappresentante Designato e inoltrare tali comunicazioni al Cliente senza indebito ritardo;
tenere un registro delle attività di trattamento del Cliente (contenente le informazioni richieste dall’articolo 12 LPD) e metterlo a disposizione dell’Incaricato della protezione dei dati su richiesta, in conformità con gli obblighi del Rappresentante designato ai sensi dell’articolo 15 LPD;
collaborare con l’INPDT nell’adempimento degli obblighi diretti del rappresentante designato ai sensi dell’articolo 15 della LPD;
assistere il Cliente nel rispondere alle richieste di informazioni e alle indagini delle Autorità di vigilanza o alle azioni di esecuzione, coordinando le risposte senza tuttavia assumere il potere decisionale;
fornire indicazioni generali sulle aspettative normative svizzere (comprese le linee guida dell’UDFI) relative alla funzione di rappresentante e informare il Cliente in merito agli sviluppi normativi rilevanti che incidono sugli obblighi di cui all’articolo 14.
Nel svolge i propri compiti, il rappresentante designato deve tenere debitamente conto dei rischi connessi alle operazioni di trattamento, tenendo conto della natura, della portata, del contesto e delle finalità del trattamento.
2.1 Erogazione del servizio. GDPRLocal agirà secondo le istruzioni fornite dal referente del Cliente indicato nel profilo dell’account del Cliente, o da qualsiasi altra persona espressamente autorizzata per iscritto dal Cliente.
2.2 Consulenza e segnalazione. Qualora GDPRLocal riceva una comunicazione dall’FDPIC, da qualsiasi altra autorità di controllo competente o da un interessato che richieda una risposta entro un termine definito, GDPRLocal ne darà immediata comunicazione al referente del cliente, specificando il termine di risposta. Qualora il Cliente non fornisca istruzioni in tempo utile, GDPRLocal potrà (a) rispondere con una conferma di ricezione, oppure (b) comunicare all’FDPIC o all’interessato che la questione è stata inoltrata al Cliente. Il Cliente riconosce che GDPRLocal non può essere ritenuta responsabile per il mancato rispetto delle scadenze causato dalla mancata fornitura tempestiva di istruzioni da parte del Cliente.
Oltre agli obblighi previsti dal §6 dell’MSA, il Cliente è tenuto a:
3.1 fornire a GDPRLocal le informazioni, i documenti e la collaborazione ragionevolmente necessari per l’esecuzione dei Servizi, tra cui: dati precisi relativi alla persona giuridica del Cliente o alle persone giuridiche interessate dall’incarico; dettagli sulle attività di trattamento rientranti nell’ambito dell’incarico in questione; e una copia del Registro delle attività di trattamento;
3.2 rispondere tempestivamente a tutte le comunicazioni inoltrate da GDPRLocal e fornire tempestivamente le istruzioni, le informazioni e le decisioni necessarie per la gestione di tali comunicazioni;
3.3 comunicare tempestivamente a GDPRLocal: (a) qualsiasi violazione dei dati, sospetta o effettiva; (b) qualsiasi modifica alle attività di trattamento del Cliente che incida in modo sostanziale sull’ambito o sulla natura della nomina del rappresentante; (c) qualsiasi comunicazione diretta ricevuta dal Cliente dall’FDPIC o da qualsiasi altra autorità di controllo competente; (d) qualsiasi contenzioso o procedimento normativo avviato nei confronti del Cliente in relazione al trattamento dei dati personali degli interessati in Svizzera; e (e) qualsiasi richiesta da parte di un interessato relativa ai diritti previsti dalla LPD;
3.4 pubblicare i dati di contatto del rappresentante svizzero e comunicarli all’INPD, come previsto dalla LPD, utilizzando i dati di contatto del rappresentante designato indicati nell’appendice al presente allegato, e garantire che tali dati di contatto siano riportati correttamente in tutte le informative sulla privacy del Cliente, nelle politiche sulla privacy del sito web e nelle comunicazioni agli interessati, come previsto dall’articolo 19 della LPD;
3.5 si assume la responsabilità esclusiva dell’accuratezza, della completezza e dell’aggiornamento del ROPA. L’obbligo del Rappresentante Designato di tenere un registro ai sensi dell’articolo 15 della FADP è subordinato alla presentazione da parte del Cliente di un ROPA accurato;
3.6 Non intraprendere alcuna azione che possa (a) esporre GDPRLocal o il Rappresentante designato a procedimenti esecutivi o sanzioni normative, salvo che ciò costituisca una conseguenza inevitabile del ruolo del Rappresentante designato; (b) obbligare GDPRLocal o il Rappresentante designato a fornire dichiarazioni inesatte a un’Autorità di controllo; oppure (c) indurre GDPRLocal o il Rappresentante designato ad agire in violazione della FADP o di altre leggi applicabili.
4.1 Salvo quanto espressamente concordato al momento dell’attivazione, i Servizi non includono consulenze o servizi di conformità sostanziale alla FADP (che, se del caso, sono disciplinati da Allegati ai Servizi separati) né la fornitura di consulenza legale o rappresentanza legale. Qualora sia necessaria una consulenza legale, il Cliente dovrà rivolgersi a un consulente legale indipendente.
4.2 GDPRLocal e il rappresentante designato non assumeranno alcuna responsabilità gestionale né alcuna autorità decisionale operativa.
4.3 Il ruolo del Rappresentante designato in relazione alle richieste relative ai diritti degli interessati è di natura consultiva e di supervisione; la gestione operativa delle richieste relative ai diritti degli interessati (DSAR) rimane di esclusiva responsabilità del Cliente.
4.4 Eventuali servizi che esulano dal ruolo di rappresentanza previsto dall’articolo 14 della legge possono essere richiesti come servizi e attività aggiuntivi a pagamento, in conformità con il Contratto quadro di prestazione di servizi.
5.1 Riconoscimento del quadro di riferimento in materia di responsabilità. Le parti riconoscono che:
Ai sensi della FADP e in linea con le linee guida della FDPIC, il rappresentante designato non è responsabile in via sostitutiva per le violazioni della FADP commesse dal cliente. La responsabilità diretta è limitata ai propri obblighi di legge ai sensi dell’articolo 14 della FADP.
L’esposizione del rappresentante designato a procedimenti esecutivi deriva dal suo ruolo di referente locale del cliente in Svizzera e costituisce una caratteristica strutturale della funzione prevista dall’articolo 14, non un’indicazione di colpa. La ripartizione contrattuale del rischio ne tiene conto.
5.2 Limitazione di responsabilità (specifica per il servizio).
5.2.1 Fatta salva la clausola 5.5, la responsabilità complessiva di ciascuna delle parti ai sensi del presente Allegato non potrà superare l’importo totale dei corrispettivi pagati o dovuti dal Cliente in relazione al Servizio di rappresentanza in Svizzera di cui all’articolo 14 nel periodo di dodici (12) mesi immediatamente precedente l’evento che ha dato origine alla richiesta di risarcimento.
5.2.2 Nessuna delle parti sarà responsabile per danni indiretti, consequenziali, speciali o punitivi.
5.2.3 GDPRLocal e il Rappresentante Designato non saranno responsabili per: multe o sanzioni ai sensi della FADP inflitte al Cliente; perdite derivanti dal mancato rispetto da parte del Cliente della FADP o dalla mancata fornitura di ROPA o istruzioni accurate e tempestive; conseguenze del mancato aggiornamento delle informative sulla privacy con dati di contatto corretti; perdite attribuibili alla mancata notifica da parte del Cliente di un evento rilevante ai sensi della clausola 3; perdite derivanti dall’inoltro in buona fede da parte di GDPRLocal di comunicazioni alle quali il Cliente non ha risposto in modo adeguato.
5.3 Indennizzo da parte del Cliente. Il Cliente dovrà indennizzare, difendere e manlevare GDPRLocal, il Rappresentante Designato e le rispettive affiliate, amministratori, dipendenti e agenti (di seguito, singolarmente, una “Persona Indennizzata”) da eventuali perdite (comprese le spese legali ragionevoli su base di indennizzo totale) derivanti da: procedimenti esecutivi; reclami degli Interessati relativi al trattamento effettuato dal Cliente; mancato adempimento da parte del Cliente degli obblighi di cui alla clausola 3; mancata fornitura di un ROPA accurato; e costi sostenuti per rispondere, per conto del Cliente, a procedimenti di esecuzione o richieste di informazioni da parte dell’Autorità di controllo.
5.4 Procedura di difesa. Al ricevimento di qualsiasi richiesta di risarcimento potenzialmente indennizzabile: GDPRLocal ne dà tempestiva comunicazione al Cliente; il Cliente si fa carico della difesa a proprie spese (la Persona indennizzata può partecipare a spese del Cliente; non è consentito alcun accordo transattivo sfavorevole alla Persona indennizzata senza il suo consenso); la Persona indennizzata collabora in misura ragionevole; in caso di mancata assunzione della difesa entro 15 Giorni Lavorativi, GDPRLocal può subentrare nella conduzione della difesa a spese del Cliente.
5.5 Esclusioni dalla limitazione di responsabilità. Il limite di responsabilità di cui alla clausola 5.2 non si applica a: gli obblighi di indennizzo del Cliente ai sensi della clausola 5.3; la responsabilità per morte o lesioni personali causate da negligenza; frode o dichiarazioni fraudolente; qualsiasi altra responsabilità che non possa essere limitata dalla legge applicabile.
5.6 Assicurazione di responsabilità civile professionale. GDPRLocal dovrà mantenere in vigore per tutta la durata del contratto un’assicurazione di responsabilità civile professionale con un massimale non inferiore a 1.000.000 di sterline per sinistro e in totale per ogni anno di polizza. La documentazione comprovante tale copertura sarà fornita su ragionevole richiesta scritta.
6.1 Durata. Il presente Allegato ha inizio alla Data di avvio del servizio e ha una durata iniziale di dodici (12) mesi (“Durata iniziale”), salvo che non venga risolto anticipatamente ai sensi della presente clausola 6 o dell’articolo 12 del MSA. Esso si rinnova automaticamente per periodi di rinnovo successivi di dodici mesi, a meno che non venga data comunicazione di mancato rinnovo almeno novanta (90) giorni prima della scadenza del periodo allora in corso.
6.2 Risoluzione per motivi di convenienza. In deroga al §12.3 dell’MSA, ciascuna delle parti può risolvere il presente Allegato mediante preavviso scritto di almeno novanta (90) giorni, esercitabile solo dopo la scadenza del Periodo Iniziale. Il preavviso di 90 giorni riflette il legittimo interesse di GDPRLocal alla continuità e la necessità del Cliente di individuare un rappresentante svizzero sostitutivo ai sensi dell’articolo 14 per evitare di violare la FADP.
6.3 Diritto di recesso aggiuntivo. GDPRLocal potrà inoltre recedere dal contratto con effetto immediato qualora (a) il Cliente fornisca informazioni ROPA sostanzialmente inesatte, tali da comportare una dichiarazione falsa nei confronti delle autorità di controllo; oppure (b) le istruzioni del Cliente richiedano l’adozione di misure illegali o espongano GDPRLocal o il Rappresentante Designato a una responsabilità sproporzionata.
6.4 Diritto di dimissioni in caso di procedimenti esecutivi. La prassi di mercato per i rappresentanti ai sensi dell’articolo 14 prevede uno specifico diritto di dimissioni qualora il Cliente cessi di collaborare nel corso di un procedimento esecutivo. GDPRLocal può dimettersi con effetto immediato qualora:
Vengono avviati procedimenti esecutivi nei confronti del Rappresentante Designato e il Cliente (i) non assume la difesa entro 15 giorni lavorativi; (ii) non fornisce istruzioni adeguate entro i termini previsti; oppure (iii) non collabora;
il Cliente smetta di rispondere alle comunicazioni di GDPRLocal per un periodo superiore a 15 giorni lavorativi nel corso di un’indagine o di un procedimento esecutivo in corso da parte dell’FDPIC;
il Cliente sta effettuando un trattamento che costituisce una grave violazione in corso della FADP e che si rifiuta di sanare nonostante la notifica scritta.
Le dimissioni immediate in tali circostanze non costituiscono una violazione. Il Cliente si assume la responsabilità esclusiva di eventuali conseguenze normative derivanti da un’interruzione della copertura.
6.5 Conseguenze della risoluzione. Entro 5 giorni lavorativi: GDPRLocal cessa di presentarsi come rappresentante del Cliente e ne dà comunicazione all’Autorità federale di protezione dei dati (FDPIC) ove richiesto dalla legge svizzera; il Cliente aggiorna tutte le informative sulla privacy per rimuovere i dati del rappresentante designato. Entro 15 giorni lavorativi: GDPRLocal consegna una copia del ROPA e del registro delle comunicazioni. Eventuali procedimenti esecutivi pendenti gestiti in base alle disposizioni transitorie (oppure, in mancanza di tali disposizioni, entro 10 giorni lavorativi, GDPRLocal può notificare la risoluzione all’IFPDT e indirizzarla al Cliente). Il Cliente paga le commissioni e i costi in sospeso. Le clausole 5 e 6.5 rimangono valide anche dopo la risoluzione.
6.6 Avviso normativo. Il Cliente si assume la responsabilità esclusiva di nominare un nuovo rappresentante ai sensi dell’articolo 14 prima o immediatamente dopo la risoluzione del contratto, al fine di evitare qualsiasi violazione della FADP. GDPRLocal collaborerà a titolo di cortesia alla nomina di tale sostituto, applicando le tariffe standard in vigore in quel momento.
__________________________________________________
La presente Dichiarazione di lavoro (“SOW”) è allegata al presente Allegato e ne costituisce parte integrante, il quale a sua volta fa parte del Contratto quadro di servizi stipulato tra il Cliente e GDPRLocal Ltd. I termini in maiuscolo hanno lo stesso significato attribuito loro nell’Allegato o nel Contratto.
Il SOW viene generato e registrato da GDPRLocal al momento dell’attivazione del Servizio (sia tramite la piattaforma GDPRLocal che tramite conferma scritta) e riporta l’ambito specifico, i costi e i parametri operativi del presente incarico. L’identità del cliente viene inserita automaticamente dal profilo dell’account del cliente e non viene reinserita in questa sede.
| Nome dell'azienda | [Nome dell'azienda] |
| Nome del referente | [Nome del referente] |
| Indirizzo e-mail di contatto | [Indirizzo e-mail di contatto] |
| Numero di telefono | [Numero di telefono] |
Data di entrata in vigore: la data e l'ora di attivazione del Servizio (la “Data di inizio del Servizio”).
Durata iniziale: dodici (12) mesi a partire dalla Data di inizio del servizio [Data di attivazione del servizio], in conformità con la clausola §6.1 dell’Allegato, salvo diversamente concordato.
Rinnovo automatico e comunicazione ai sensi dell’Allegato §6.1.
Ambito di rappresentanza: Svizzera (articolo 14 FADP).
Attività di trattamento oggetto del presente accordo: come indicato nei Registri delle attività di trattamento (ROPA) del Cliente forniti a GDPRLocal ai sensi del §3.5 dell’Allegato.
Riferimento ROPA: il ROPA va allegato al momento dell'attivazione oppure deve essere fornito dal Cliente entro 15 giorni dall'attivazione.
Esclusioni dall’ambito di competenza (se presenti): eventuali attività di trattamento espressamente escluse dall’ambito di competenza del rappresentante; in caso contrario, “nessuna”.
Costo dell'abbonamento: come indicato nel listino prezzi in vigore al momento dell'attivazione.
Frequenza di fatturazione: [mensile/annuale], in base alla scelta del Cliente al momento dell’attivazione (MSA §5.2).
Variazione concordata (se presente, sarà indicata in una documentazione scritta separata).
Valuta: GBP. Tutte le tariffe sono al netto dell'IVA e di eventuali imposte applicabili.
| Entità rappresentante designata | ALTRION Sagl |
| Sede legale | Via Luigi Lavizzari 8, Mendrisio – Svizzera |
| [email protected] | |
| Tel. | +44 1772 217 800 |
GDPRLocal fornisce il servizio di rappresentanza in Svizzera tramite il proprio partner svizzero ALTRION Sagl. ALTRION Sagl ricopre il ruolo di rappresentante designato presso la sede di Mendrisio, in base al contratto stipulato tra GDPRLocal e il Cliente. La designazione interna delle persone che ricoprono di volta in volta il ruolo di rappresentante è a discrezione di GDPRLocal e ALTRION Sagl; GDPRLocal comunicherà al Cliente eventuali modifiche permanenti relative al referente designato entro trenta (30) giorni lavorativi.
Il Cliente dovrà pubblicare, nelle proprie informative sulla privacy, nelle politiche sulla privacy dei siti web e in qualsiasi altra comunicazione prevista dall’articolo 19 della FADP, la seguente formulazione (o una formulazione equivalente che trasmetta le stesse informazioni):
“Il nostro rappresentante in Svizzera ai sensi dell’articolo 14 della FADP è ALTRION Sagll, Via Luigi Lavizzari 8, Mendrisio – Svizzera. Sito web: https://gdprlocal.com. Gli interessati residenti in Svizzera e l’Incaricato federale della protezione dei dati e dell’informazione (FDPIC) possono contattare il nostro rappresentante in Svizzera all’indirizzo [email protected] o al numero +44 1772 217 800.”
Il Cliente dovrà aggiornare tempestivamente tali informazioni non appena riceverà comunicazione scritta da parte di GDPRLocal in merito a eventuali modifiche a tali dati di contatto.
| Servizio | Servizi inclusi | Cronologia |
| Nomina e rappresentanza | Designazione formale come rappresentante svizzero ai sensi dell’articolo 14 della FADP; mandato di rappresentanza autorizzato; inserimento nell’informativa sulla privacy | Una tantum (onboarding) |
| Referente normativo | Ricezione e inoltro delle comunicazioni dell’FDPIC e di altre autorità di vigilanza; supporto al coordinamento delle risposte | Spedizione entro 1–3 giorni lavorativi |
| Funzione di contatto per gli interessati | Ricezione e inoltro delle richieste degli interessati (DSAR) provenienti da soggetti svizzeri; registrazione, ove applicabile | Spedizione entro 1–3 giorni lavorativi |
| Registri delle attività di trattamento (ROPA) | Garantire l'accesso ai registri di cui all'articolo 12 ai fini delle ispezioni normative; assicurarne la conservazione e l'accesso in condizioni di sicurezza; fornirli alle autorità su richiesta | In corso / su richiesta |
| Sostegno alla cooperazione normativa | Coordinamento delle comunicazioni nel corso di richieste di informazioni o indagini; monitoraggio degli scambi normativi | Come richiesto |
| Gestione delle comunicazioni e escalation | Segnalazione tempestiva delle comunicazioni di natura normativa o ad alto rischio; contrassegnazione come prioritarie delle questioni urgenti | Come richiesto |
| Interfaccia di conformità | Linee guida di alto livello relative agli obblighi di cui all’articolo 14; comunicazioni relative agli sviluppi normativi; indicazioni pratiche (consulenza non legale) | A seconda delle necessità |
Il presente SOW potrà essere rivisto e aggiornato previo accordo scritto tra le parti, qualora ciò sia necessario per riflettere modifiche sostanziali alle attività di trattamento del Cliente, ai requisiti di servizio o alle priorità di conformità. Qualsiasi aggiornamento di questo tipo sarà registrato come SOW revisionato associato all’account del Cliente.
Il presente capitolato d’oneri si considera accettato dal Cliente al momento dell’attivazione del Servizio (sia tramite attivazione all’interno del portale sia tramite conferma scritta accettata da GDPRLocal). Non è richiesta alcuna firma autografa.