Il Contratto quadro di servizio GDPRLocal e le Condizioni aggiuntive ivi contenute regolano i nostri prodotti, servizi e rapporti con i clienti.
Non è previsto alcun obbligo di acquisto dei servizi. Non è necessaria una carta di credito per registrarsi e, una volta effettuata la registrazione, i servizi possono essere acquistati e attivati in qualsiasi momento.
Il presente Allegato costituisce parte integrante del Contratto quadro di servizi (“Contratto”) stipulato tra il Cliente e GDPRLocal Ltd (“GDPRLocal”). Esso definisce l’ambito dei servizi di rappresentanza nell’Unione Europea di cui all’articolo 27 che GDPRLocal fornirà tramite la propria affiliata, Instant EU GDPR Representative Ltd (il “Rappresentante designato”), un soggetto con sede nell’Unione Europea incaricato da GDPRLocal di svolgere la funzione di rappresentante nell’Unione Europea ai sensi del presente Allegato. I riferimenti a GDPRLocal contenuti nel presente Allegato includono il Rappresentante Designato che agisce nella sua veste legale, salvo ove il contesto richieda diversamente. I termini utilizzati nel presente Allegato hanno lo stesso significato attribuito loro nel Contratto Quadro di Servizi o nelle Normative Applicabili.
1. Ambito dei servizi
1.1 Designazione. A decorrere dalla Data di inizio del servizio, il Cliente nomina il Rappresentante designato affinché agisca in qualità di suo rappresentante nell’Unione ai sensi dell’articolo 27 dei Regolamenti applicabili. Il presente Allegato costituisce il mandato scritto richiesto ai sensi dell’articolo 27, paragrafo 1, del GDPR. Il Rappresentante Designato accetta tale nomina e si impegna a prestare i servizi di rappresentanza descritti nel presente Allegato in conformità all’articolo 27 dei Regolamenti Applicabili. Il mandato non conferisce l’autorità di prendere decisioni sostanziali per conto del Cliente in merito alle attività di trattamento, di vincolare il Cliente ad alcun impegno di conformità, né di agire in qualità di rappresentante legale in contenziosi o procedimenti esecutivi.
1.2 Articolo 27: Obblighi del rappresentante. Ai sensi dell’articolo 27 della normativa applicabile, GDPRLocal dovrà (tramite il rappresentante designato):
2. Livelli di servizio e risultati attesi
2.1 Erogazione del servizio. GDPRLocal agirà secondo le istruzioni fornite dal referente del cliente indicato nel profilo dell’account del cliente, o da qualsiasi altra persona espressamente autorizzata per iscritto dal cliente.
2.2 Consulenza e rendicontazione. Qualora GDPRLocal riceva una comunicazione da un’Autorità di controllo o da un interessato che richieda una risposta entro un termine definito, GDPRLocal ne darà immediata comunicazione al Referente del Cliente, specificando il termine di risposta. Se il Cliente non fornisce istruzioni in tempo, GDPRLocal potrà (a) rispondere con una conferma di ricezione, oppure (b) comunicare all’Autorità di controllo o all’interessato che la questione è stata inoltrata al Cliente. Il Cliente riconosce che GDPRLocal non può essere ritenuta responsabile per il mancato rispetto delle scadenze causato dalla mancata fornitura tempestiva di istruzioni da parte del Cliente.
3. Obblighi del cliente
Oltre agli obblighi previsti dal §6 dell’MSA, il Cliente è tenuto a:
3.1 fornire a GDPRLocal le informazioni, i documenti e la collaborazione ragionevolmente necessari per l’esecuzione dei Servizi, tra cui: dati precisi relativi alla persona giuridica del Cliente o alle persone giuridiche interessate dall’incarico; dettagli sulle attività di trattamento rientranti nell’ambito dell’incarico in questione; e una copia del Registro delle attività di trattamento;
3.2 rispondere tempestivamente a tutte le comunicazioni inoltrate da GDPRLocal e fornire tempestivamente le istruzioni, le informazioni e le decisioni necessarie per la gestione di tali comunicazioni;
3.3 comunicare tempestivamente a GDPRLocal: (a) qualsiasi violazione dei dati, sospetta o effettiva; (b) qualsiasi modifica alle attività di trattamento del Cliente che incida in modo sostanziale sull’ambito o sulla natura della nomina del rappresentante; (c) qualsiasi comunicazione diretta ricevuta dal Cliente da un’Autorità di controllo; (d) qualsiasi contenzioso o procedimento normativo avviato nei confronti del Cliente in relazione al trattamento dei dati personali degli interessati nell’Unione; e (e) qualsiasi richiesta da parte di un interessato relativa ai diritti previsti dal GDPR;
3.4 pubblicare i dati di contatto del Rappresentante nell’UE e comunicarli all’Autorità di controllo come previsto dal GDPR, utilizzando i dati di contatto del Rappresentante designato indicati nell’Appendice al presente Allegato, e garantire che tali dati di contatto siano riportati correttamente in tutte le informative sulla privacy del Cliente, nelle politiche sulla privacy del sito web e nelle comunicazioni agli interessati, come previsto dagli articoli 13 e 14 del GDPR;
3.5 si assume la responsabilità esclusiva dell’accuratezza, della completezza e dell’aggiornamento del ROPA. L’obbligo del Rappresentante Designato ai sensi dell’articolo 30, paragrafo 4, del GDPR è subordinato alla fornitura da parte del Cliente di un ROPA accurato;
3.6 Non intraprendere alcuna azione che possa (a) esporre GDPRLocal o il Rappresentante Designato a procedimenti esecutivi o sanzioni normative, salvo nei casi in cui ciò costituisca una conseguenza inevitabile del ruolo del Rappresentante Designato; (b) costringere GDPRLocal o il Rappresentante Designato a fornire dichiarazioni inesatte a un’Autorità di controllo; oppure (c) indurre GDPRLocal o il Rappresentante Designato ad agire in violazione delle Normative Applicabili.
4. Servizi non compresi nell'ambito di applicazione
4.1 Salvo quanto espressamente concordato al momento dell’attivazione, i Servizi non includono consulenze o servizi di conformità sostanziale al GDPR (che, se del caso, sono disciplinati da Allegati ai Servizi separati) né la fornitura di consulenza legale o rappresentanza legale. Qualora fosse necessaria una consulenza legale, il Cliente dovrà rivolgersi a un consulente legale indipendente.
4.2 GDPRLocal e il rappresentante designato non assumeranno alcuna responsabilità gestionale né alcuna autorità decisionale operativa.
4.3 Il ruolo del Rappresentante designato in relazione alle richieste relative ai diritti degli interessati è di natura consultiva e di supervisione; la gestione operativa delle richieste relative ai diritti degli interessati (DSAR) rimane di esclusiva responsabilità del Cliente.
4.4 Eventuali servizi che esulano dal ruolo di rappresentanza previsto dall’articolo 27 della legge possono essere richiesti come servizi e attività aggiuntivi a pagamento, in conformità con il Contratto quadro di prestazione di servizi.
5. Responsabilità e indennizzo (Integramento specifico per il servizio ai paragrafi 10 e 11 del MSA)
5.1 Riconoscimento del quadro di riferimento in materia di responsabilità. Le parti riconoscono quanto segue:
5.2 Limitazione di responsabilità (specifica per il servizio).
5.2.1 Fatta salva la clausola 5.5, la responsabilità complessiva di ciascuna delle parti ai sensi del presente Allegato non potrà superare l’importo totale dei corrispettivi pagati o dovuti dal Cliente in relazione al Servizio di rappresentanza ai sensi dell’articolo 27 dell’UE nel periodo di dodici (12) mesi immediatamente precedente l’evento che ha dato origine alla richiesta di risarcimento.
5.2.2 Nessuna delle parti sarà responsabile per danni indiretti, consequenziali, speciali o punitivi.
5.2.3 GDPRLocal e il Rappresentante Designato non saranno responsabili per: multe o sanzioni ai sensi del GDPR inflitte al Cliente; perdite derivanti dal mancato rispetto da parte del Cliente delle Normative Applicabili o dalla mancata fornitura di ROPA o istruzioni accurate e tempestive; conseguenze del mancato aggiornamento delle informative sulla privacy con i dati di contatto corretti; perdite attribuibili alla mancata notifica da parte del Cliente di un evento rilevante ai sensi della clausola 3; perdite derivanti dall’inoltro in buona fede da parte di GDPRLocal di comunicazioni alle quali il Cliente non ha risposto in modo adeguato.
5.3 Indennizzo da parte del Cliente. Il Cliente dovrà indennizzare, difendere e manlevare GDPRLocal, il Rappresentante Designato e le rispettive affiliate, amministratori, dipendenti e agenti (di seguito, singolarmente, una “Persona Indennizzata”) da eventuali perdite (comprese le spese legali ragionevoli su base di indennizzo totale) derivanti da: procedimenti esecutivi; responsabilità solidale ai sensi della legislazione nazionale (compresa la LOPDGDD spagnola); reclami degli interessati relativi al trattamento dei dati da parte del Cliente; inadempimento da parte del Cliente degli obblighi di cui alla clausola 3; mancata fornitura di un ROPA accurato; e costi sostenuti per rispondere a procedimenti esecutivi o richieste di informazioni da parte delle autorità di controllo per conto del Cliente.
5.4 Procedura di difesa. Al ricevimento di qualsiasi richiesta di risarcimento potenzialmente indennizzabile: GDPRLocal ne dà tempestiva comunicazione al Cliente; il Cliente si fa carico della difesa a proprie spese (la Persona indennizzata può partecipare a spese del Cliente; non è consentito alcun accordo transattivo sfavorevole alla Persona indennizzata senza il suo consenso); la Persona indennizzata collabora in misura ragionevole; in caso di mancata assunzione della difesa entro 15 Giorni Lavorativi, GDPRLocal può subentrare nella conduzione della difesa a spese del Cliente.
5.5 Esclusioni dalla limitazione di responsabilità. Il limite di responsabilità di cui alla clausola 5.2 non si applica a: gli obblighi di indennizzo del Cliente ai sensi della clausola 5.3; la responsabilità per morte o lesioni personali causate da negligenza; frode o dichiarazioni fraudolente; qualsiasi altra responsabilità che non possa essere limitata dalle Normative Applicabili.
5.6 Assicurazione di responsabilità civile professionale. GDPRLocal dovrà mantenere in vigore per tutta la durata del contratto un’assicurazione di responsabilità civile professionale con un massimale non inferiore a 1.000.000 di sterline per sinistro e in totale per ogni anno di polizza. La relativa documentazione sarà resa disponibile su ragionevole richiesta scritta.
6. Durata e risoluzione (specifico per il servizio)
6.1 Durata. Il presente Allegato ha inizio alla Data di avvio del servizio e ha una durata iniziale di dodici (12) mesi (“Durata iniziale”), salvo che non venga risolto anticipatamente ai sensi della presente clausola 6 o dell’articolo 12 del MSA. Esso si rinnova automaticamente per periodi di rinnovo successivi di dodici mesi, a meno che non venga data comunicazione di mancato rinnovo almeno novanta (90) giorni prima della scadenza del periodo allora in corso.
6.2 Risoluzione per motivi di convenienza. In deroga a quanto previsto dal §12.3 del MSA, ciascuna delle parti può risolvere il presente Allegato mediante preavviso scritto di almeno novanta (90) giorni, esercitabile solo dopo la scadenza del Periodo Iniziale. Il preavviso di 90 giorni riflette il legittimo interesse di GDPRLocal alla continuità e la necessità del Cliente di individuare un rappresentante sostitutivo ai sensi dell’articolo 27 per evitare di violare l’articolo 27 del GDPR.
6.3 Diritto di recesso aggiuntivo. GDPRLocal potrà inoltre recedere dal contratto con effetto immediato qualora (a) il Cliente fornisca informazioni ROPA sostanzialmente inesatte, tali da comportare una dichiarazione falsa nei confronti delle Autorità di controllo; oppure (b) le istruzioni del Cliente richiedano l’adozione di misure illegali o espongano GDPRLocal o il Rappresentante designato a una responsabilità sproporzionata.
6.4 Diritto di dimissioni in caso di procedimenti esecutivi. La prassi di mercato per i rappresentanti ai sensi dell’articolo 27 prevede uno specifico diritto di dimissioni qualora il Cliente cessi di collaborare nel corso di un procedimento esecutivo. GDPRLocal può dimettersi con effetto immediato se:
Le dimissioni immediate in tali circostanze non costituiscono una violazione. Il Cliente si assume la responsabilità esclusiva di eventuali conseguenze normative derivanti da un’interruzione della copertura.
6.5 Conseguenze della risoluzione. Entro 5 giorni lavorativi: GDPRLocal cessa di presentarsi come rappresentante del Cliente e ne dà comunicazione alle Autorità di controllo competenti, ove richiesto dalla normativa nazionale; il Cliente aggiorna tutte le informative sulla privacy per rimuovere i dati del Rappresentante designato. Entro 15 giorni lavorativi: GDPRLocal consegna una copia del ROPA + del registro delle comunicazioni. Eventuali procedimenti esecutivi pendenti gestiti in base alle disposizioni transitorie (oppure, in mancanza di tali disposizioni, entro 10 giorni lavorativi, GDPRLocal può notificare la risoluzione all’Autorità di controllo competente e indirizzarla al Cliente). Il Cliente paga i canoni e i costi dovuti. Le clausole 5 e 6.5 rimangono valide anche dopo la risoluzione.
6.6 Avviso normativo. Il Cliente si assume la responsabilità esclusiva di nominare un nuovo rappresentante ai sensi dell’articolo 27 prima o immediatamente dopo la risoluzione del contratto, al fine di evitare di violare l’articolo 27 del GDPR. GDPRLocal collaborerà a titolo di cortesia alla nomina di tale sostituto, applicando le tariffe standard in vigore in quel momento.
__________________________________________________
La presente Dichiarazione di lavoro (“SOW”) è allegata al presente Allegato e ne costituisce parte integrante, il quale a sua volta fa parte del Contratto quadro di servizi stipulato tra il Cliente e GDPRLocal Ltd. I termini in maiuscolo hanno lo stesso significato attribuito loro nell’Allegato o nel Contratto.
Il SOW viene generato e registrato da GDPRLocal al momento dell’attivazione del Servizio (sia tramite la piattaforma GDPRLocal che tramite conferma scritta) e riporta l’ambito specifico, i costi e i parametri operativi del presente incarico. L’identità del cliente viene inserita automaticamente dal profilo dell’account del cliente e non viene reinserita in questa sede.
1. Dati del cliente
| Nome dell'azienda | [Nome dell'azienda] |
| Nome del referente | [Nome del referente] |
| Indirizzo e-mail di contatto | [Indirizzo e-mail di contatto] |
| Numero di telefono | [Numero di telefono] |
2. Data di entrata in vigore e durata
3. Ambito dei servizi
4. Commissioni di servizio
5. Personale designato
| Entità rappresentante designata | Instant EU GDPR Representative Ltd |
| Sede legale | Ufficio 2, 12A Lower Main Street, Lucan, Contea di Dublino, K78 X5P8, Irlanda |
| [email protected] | |
| Tel. | +44 1772 217 800 |
6. Testo dell’informativa sulla privacy
Il Cliente dovrà pubblicare, nelle proprie informative sulla privacy, nelle politiche sulla privacy dei siti web e in qualsiasi altra comunicazione richiesta dagli articoli 13 e 14 del GDPR, la seguente formulazione (o una formulazione equivalente che trasmetta le stesse informazioni):
“Il nostro rappresentante nell’UE ai sensi dell’articolo 27 del GDPR è Instant EU GDPR Representative Ltd, Office 2, 12A Lower Main Street, Lucan, Contea di Dublino, K78 X5P8, Irlanda. Sito web: https://gdprlocal.com Gli interessati e le autorità di controllo dell’UE possono contattare il nostro rappresentante nell’UE all’indirizzo [email protected] o al numero +44 1772 217 800.”
Il Cliente dovrà aggiornare tempestivamente tali informazioni non appena riceverà comunicazione scritta da parte di GDPRLocal in merito a eventuali modifiche a tali dati di contatto.
7. Servizi e risultati attesi del rappresentante dell’UE
| Servizio | Servizi inclusi | Cronologia |
| Nomina e rappresentanza | Designazione formale come rappresentante nell’UE ai sensi dell’articolo 27 del GDPR per le attività di trattamento di cui all’articolo 3, paragrafo 2; mandato di rappresentanza autorizzato; inclusione nell’informativa sulla privacy | Una tantum (onboarding) |
| Referente normativo | Ricezione e inoltro delle comunicazioni dell’Autorità di vigilanza; supporto al coordinamento delle risposte | Spedizione entro 1–3 giorni lavorativi |
| Funzione di contatto per gli interessati | Ricezione e inoltro delle richieste degli interessati (DSAR); registrazione, ove applicabile | Spedizione entro 1–3 giorni lavorativi |
| Registri delle attività di trattamento (ROPA) | Garantire l'accesso ai registri di cui all'articolo 30 ai fini delle ispezioni normative; assicurarne la conservazione e l'accesso in condizioni di sicurezza; fornirli alle autorità su richiesta | In corso / su richiesta |
| Sostegno alla cooperazione normativa | Coordinamento delle comunicazioni nel corso di richieste di informazioni o indagini; monitoraggio degli scambi normativi | Come richiesto |
| Gestione delle comunicazioni e escalation | Segnalazione tempestiva delle comunicazioni di natura normativa o ad alto rischio; contrassegnazione come prioritarie delle questioni urgenti | Come richiesto |
| Interfaccia di conformità | Linee guida di alto livello relative agli obblighi di cui all’articolo 27; comunicazioni relative agli sviluppi normativi pertinenti; indicazioni pratiche (consulenza non legale) | A seconda delle necessità |
8. Valutazione dei servizi
Il presente SOW potrà essere rivisto e aggiornato previo accordo scritto tra le parti, qualora ciò sia necessario per riflettere modifiche sostanziali alle attività di trattamento del Cliente, ai requisiti di servizio o alle priorità di conformità. Qualsiasi aggiornamento di questo tipo sarà registrato come SOW revisionato associato all’account del Cliente.
9. Accettazione
Il presente capitolato d’oneri si considera accettato dal Cliente al momento dell’attivazione del Servizio (sia tramite attivazione all’interno del portale sia tramite conferma scritta accettata da GDPRLocal). Non è richiesta alcuna firma autografa.