Il Contratto quadro di servizio GDPRLocal e le Condizioni aggiuntive ivi contenute regolano i nostri prodotti, servizi e rapporti con i clienti.
Non è previsto alcun obbligo di acquisto dei servizi. Non è necessaria una carta di credito per registrarsi e, una volta effettuata la registrazione, i servizi possono essere acquistati e attivati in qualsiasi momento.
Il presente Allegato costituisce parte integrante del Contratto quadro di prestazione di servizi (“Contratto”) stipulato tra il Cliente (in qualità di “Titolare del trattamento”) e GDPRLocal Ltd (“GDPRLocal”). Esso definisce l’ambito dei servizi del Responsabile della protezione dei dati (“DPO”) che saranno forniti da GDPRLocal. I termini utilizzati nel presente Allegato hanno lo stesso significato attribuito loro nel Contratto quadro di prestazione servizi o nel Regolamento generale sulla protezione dei dati (UE 2016/679) (“GDPR”).
Nel presente Allegato, i riferimenti al “Titolare del trattamento” si intendono come riferimenti al Cliente che agisce in qualità di titolare del trattamento ai sensi del GDPR.
1. Ambito dei servizi
1.1 Nomina. Il Titolare del trattamento nomina GDPRLocal quale Responsabile della protezione dei dati esterno (“DPO”) ai sensi dell’articolo 37 del GDPR. GDPRLocal accetta tale nomina e si impegna a fornire i servizi di DPO descritti nel presente Allegato in conformità con il GDPR.
1.2 Obblighi del responsabile della protezione dei dati (DPO). Ai sensi dell’articolo 39 del GDPR, GDPRLocal dovrà:
Nello svolgimento delle proprie funzioni, il responsabile della protezione dei dati (DPO) deve tenere debitamente conto dei rischi associati alle operazioni di trattamento, considerando la natura, la portata, il contesto e le finalità del trattamento.
1.3 Servizi aggiuntivi. Eventuali servizi richiesti dal Titolare del trattamento che non rientrino nell’ambito dei Servizi del Responsabile della protezione dei dati descritti nel presente Allegato potranno essere richiesti come servizi aggiuntivi fatturabili e Attività, in conformità con il Contratto quadro di prestazione servizi.
2. Indipendenza del responsabile della protezione dei dati (DPO)
2.1 Indipendenza. Le parti riconoscono e concordano espressamente che:
2.2 Conflitto di interessi. Il Titolare del trattamento deve garantire che eventuali compiti aggiuntivi assegnati a GDPRLocal non creino un conflitto con le responsabilità del Responsabile della protezione dei dati né compromettano la sua indipendenza, in conformità con l’articolo 38, paragrafo 6, del GDPR.
3. Livelli di servizio e risultati attesi
3.1 Erogazione dei servizi. GDPRLocal fornirà i Servizi descritti nel presente Allegato con cadenza concordata tra il Referente del Cliente (indicato nel profilo dell’account del Cliente) e GDPRLocal, tenendo conto della natura, della portata, del contesto e del profilo di rischio delle attività di trattamento del Titolare del trattamento.
3.2 Consulenza e rendicontazione. GDPRLocal fornirà consulenza, raccomandazioni e relazioni entro termini ragionevoli concordati di volta in volta tra le parti, tenendo conto della complessità e dell’urgenza della questione.
4. Obblighi del titolare del trattamento
Oltre agli obblighi previsti dall’articolo 6 dell’MSA, il Titolare del trattamento è tenuto a:
4.1 fornire a GDPRLocal le risorse e l’accesso alle informazioni, ai sistemi e al personale ragionevolmente necessari per l’esecuzione dei Servizi, in conformità all’articolo 38, paragrafo 2, del GDPR. Il Titolare del trattamento dovrà garantire che GDPRLocal sia coinvolta tempestivamente in qualsiasi progetto o modifica che comporti il trattamento di dati personali;
4.2 comunicare tempestivamente a GDPRLocal: (a) qualsiasi violazione dei dati, sospetta o effettiva; (b) qualsiasi comunicazione da parte di un’autorità di controllo; e (c) qualsiasi richiesta da parte di un interessato relativa ai diritti previsti dal GDPR;
4.3 Pubblicare i dati di contatto del responsabile della protezione dei dati (DPO) e comunicarli all’Autorità di controllo come previsto dall’articolo 37, paragrafo 7, del GDPR, utilizzando i dati di contatto indicati nell’Appendice al presente Allegato, e aggiornare tempestivamente tali informazioni previa comunicazione scritta da parte di GDPRLocal in caso di eventuali modifiche.
5. Servizi non compresi nell'ambito di applicazione
5.1 I Servizi sono limitati ai compiti del Responsabile della protezione dei dati (DPO) previsti dalla legge, descritti nella clausola 1.2. I Servizi non includono la fornitura di consulenza legale, pareri legali o rappresentanza legale in contenziosi, procedimenti normativi o qualsiasi altro procedimento formale. Qualora siano necessari consulenza legale o rappresentanza legale, il Titolare del trattamento dovrà rivolgersi a un consulente legale indipendente.
5.2 Il ruolo di GDPRLocal in relazione alle richieste relative ai diritti degli interessati è di natura consultiva e di supervisione. La gestione operativa e l’adempimento delle richieste relative ai diritti degli interessati, inclusi l’accesso, la cancellazione e la portabilità dei dati, rimangono di esclusiva responsabilità del Titolare del trattamento.
5.3 Qualsiasi servizio che esuli dalle funzioni previste dalla legge per il Responsabile della protezione dei dati (DPO), compresa l’attuazione operativa delle misure di conformità o una consulenza più ampia in materia di protezione dei dati, potrà essere richiesto come servizio aggiuntivo fatturabile e come attività aggiuntiva, in conformità con il Contratto quadro di prestazione servizi.
6. Riservatezza (Allegato specifico al servizio relativo all’articolo 7 del MSA)
6.1 Le parti riconoscono espressamente che GDPRLocal, nella sua qualità di responsabile della protezione dei dati (DPO), è soggetta all’obbligo di segretezza o riservatezza in merito allo svolgimento delle funzioni di DPO ai sensi dell’articolo 38, paragrafo 5, del GDPR. Tale obbligo opera indipendentemente dagli obblighi reciproci di riservatezza di cui al §7 dell’Accordo quadro (MSA) e si aggiunge ad essi. In particolare:
7. Responsabilità e indennizzo (Integramento specifico per il servizio ai paragrafi 10 e 11 del MSA)
7.1 Dichiarazioni e accordi. Le parti riconoscono e concordano che:
7.2 Limitazione di responsabilità (specifica per il servizio).
7.2.1 Fatto salvo quanto previsto alla clausola 7.4, la responsabilità complessiva di ciascuna delle parti ai sensi del presente Allegato non potrà superare l’importo totale dei corrispettivi pagati o dovuti dal Titolare del trattamento a GDPRLocal in relazione al Servizio DPO nel periodo di dodici (12) mesi immediatamente precedente l’evento che ha dato origine alla richiesta di risarcimento.
7.2.2 Nessuna delle parti sarà responsabile per danni indiretti, consequenziali, speciali o punitivi.
7.2.3 GDPRLocal non si assume alcuna responsabilità per: perdite derivanti dalla mancata attuazione, da parte del Titolare del trattamento, delle raccomandazioni del Responsabile della protezione dei dati; accertamenti normativi, sanzioni o provvedimenti coercitivi derivanti dalle attività di trattamento del Titolare del trattamento; perdite derivanti da informazioni inesatte, incomplete o fuorvianti fornite a GDPRLocal; perdite attribuibili al mancato rispetto, da parte del Titolare del trattamento, delle clausole 2.2 e 4.
7.3 Indennizzo.
7.3.1 Il Titolare del trattamento dovrà indennizzare e manlevare GDPRLocal da qualsiasi perdita, costo, reclamo, danno, multa o sanzione normativa (comprese le spese legali ragionevoli) derivanti da: qualsiasi reclamo da parte di un’Autorità di controllo o di terzi attribuibile alla mancata attuazione da parte del Titolare del trattamento delle ragionevoli raccomandazioni del Responsabile della protezione dei dati (DPO) di GDPRLocal o alla mancata osservanza da parte del Titolare del trattamento della normativa applicabile; qualsiasi reclamo derivante dal trattamento effettuato dal Titolare del trattamento in relazione al quale GDPRLocal abbia fornito una consulenza scritta che non sia stata seguita; il mancato adempimento da parte del Titolare del trattamento degli obblighi di cui alle clausole 2.2 e 4.
7.3.2 L’indennizzo non si applica nella misura in cui il danno in questione sia direttamente e principalmente attribuibile a grave negligenza o dolo da parte di GDPRLocal. A scanso di equivoci, l’esercizio in buona fede da parte di GDPRLocal del proprio giudizio indipendente in qualità di responsabile della protezione dei dati (compresi eventuali raccomandazioni, valutazioni o pareri espressi nell’esercizio delle funzioni statutarie di responsabile della protezione dei dati) non costituisce negligenza o dolo.
7.4 Esclusioni dal limite di responsabilità. Il limite di responsabilità di cui alla clausola 7.2 non si applica nei casi di: morte o lesioni personali causate da negligenza; frode o dichiarazioni fraudolente; qualsiasi altra responsabilità che non possa essere limitata dalla legge applicabile.
7.5 Assicurazione di responsabilità civile professionale. GDPRLocal dovrà mantenere in vigore per tutta la durata del contratto un’assicurazione di responsabilità civile professionale con un massimale non inferiore a 1.000.000 di sterline per sinistro e in totale per ogni anno di polizza. La relativa documentazione dovrà essere fornita su ragionevole richiesta scritta.
8. Durata e risoluzione (specifico per il servizio)
8.1 Durata. Il presente Allegato ha inizio alla Data di avvio del servizio e ha una durata iniziale di dodici (12) mesi (“Durata iniziale”), salvo che non venga risolto anticipatamente ai sensi della presente clausola 8 o del §12 del MSA. Esso si rinnova automaticamente per periodi di rinnovo successivi di dodici mesi, a meno che non venga data comunicazione di mancato rinnovo almeno novanta (90) giorni prima della scadenza del periodo allora in corso.
8.2 Risoluzione per motivi di convenienza. In deroga a quanto previsto dal §12.3 del MSA, ciascuna delle parti può risolvere il presente Allegato mediante preavviso scritto di almeno novanta (90) giorni, esercitabile solo dopo la scadenza del Periodo Iniziale, fatti salvi gli obblighi di notifica previsti dalla normativa di cui alla clausola 8.5.
8.3 Risoluzione per giusta causa.
8.3.1 La risoluzione per giusta causa è disciplinata dall’articolo 12.2 dell’MSA (violazione sostanziale, insolvenza, cessazione dell’attività), con le ulteriori disposizioni specifiche relative al servizio contenute nella presente clausola 8.3.
8.3.2 Il Titolare del trattamento può risolvere il presente Allegato con effetto immediato solo qualora si accerti che GDPRLocal abbia agito in malafede o abbia commesso una violazione grave e dolosa degli obblighi professionali nell’esercizio diretto delle proprie funzioni di Responsabile della protezione dei dati ai sensi del presente Allegato, come stabilito da una decisione definitiva e inappellabile di un tribunale competente o di un’autorità di controllo. Tale restrizione è necessaria per dare attuazione all’articolo 38, paragrafo 3, del GDPR.
8.3.3 GDPRLocal può risolvere il presente Allegato con effetto immediato qualora (a) il Titolare del trattamento ometta ripetutamente di attuare le raccomandazioni ragionevoli di GDPRLocal, in modo tale che il proseguimento della prestazione richiederebbe il mantenimento di un legame con un trattamento sostanzialmente non conforme; (b) il Titolare del trattamento tenti di impartire istruzioni a GDPRLocal in modo tale da compromettere l’indipendenza richiesta ai sensi dell’articolo 38, paragrafo 3, del GDPR; oppure (c) il Titolare del trattamento non provveda al pagamento di corrispettivi non contestati entro 30 giorni dalla data di scadenza e non ponga rimedio alla situazione entro 15 giorni dalla notifica scritta.
8.4 Conseguenze della risoluzione. GDPRLocal fornisce un rapporto di passaggio di consegne scritto entro 15 giorni lavorativi che copre le questioni in sospeso relative al Responsabile della protezione dei dati (DPO), la corrispondenza normativa in sospeso e le richieste DSAR aperte (limitate alle questioni in corso al momento della risoluzione, nessun nuovo incarico). Collaborazione transitoria con l’eventuale nuovo responsabile della protezione dei dati (DPO) per un massimo di 30 giorni alle tariffe standard di GDPRLocal, subordinatamente al pagamento degli importi dovuti. Entro 30 giorni, restituzione o distruzione delle informazioni riservate su richiesta scritta (fatte salve le eccezioni di conservazione previste dalla legge). Le clausole 6, 7 e 8.4 rimangono valide anche dopo la risoluzione del contratto.
8.5 Avviso normativo. Le parti collaboreranno per garantire che la cessazione del presente Allegato sia gestita in conformità con i requisiti delle autorità di controllo competenti, ivi compresa la notifica alla relativa autorità di controllo della cessazione della nomina del responsabile della protezione dei dati (DPO), l’aggiornamento dei recapiti del DPO pubblicati e di eventuali registrazioni presso le autorità di controllo, nonché la garanzia che il titolare del trattamento non operi senza un DPO legalmente nominato durante qualsiasi periodo di nomina obbligatorio.
Il Titolare del trattamento si assume la responsabilità esclusiva di garantire la continuità della nomina del proprio Responsabile della protezione dei dati (DPO) a seguito della cessazione del presente Allegato.
__________________________________________________
Nota: La presente Dichiarazione di lavoro (“SOW”) è allegata all’Allegato 4 ai Servizi (Servizi del Responsabile della protezione dei dati) e ne costituisce parte integrante; tale Allegato, a sua volta, fa parte del Contratto quadro di prestazione servizi (“MSA”) stipulato tra [Nome della società] (il “Titolare del trattamento”) e GDPRLocal Ltd (“GDPRLocal”). I termini in maiuscolo hanno lo stesso significato attribuito loro nell’Allegato o nel MSA.
Data di entrata in vigore: la data in cui i Servizi DPO vengono attivati, come indicato nel Registro di attivazione del servizio.
Durata iniziale: 12 mesi a decorrere dalla Data di entrata in vigore, con rinnovo automatico ai sensi dell’Allegato 4, §8.1.
| Nome dell'azienda | [Nome dell'azienda] |
| Nome del referente | [Nome del referente] |
| Indirizzo e-mail di contatto | [Indirizzo e-mail di contatto] |
| Numero di telefono | [Numero di telefono] |
| Entità designata come responsabile della protezione dei dati (DPO) | GDPRLocal Ltd |
| Sede legale | Suite frontale al 1° piano, 27–29 North Street, Brighton, Inghilterra BN1 1EB |
| [email protected] | |
| Tel. | +44 1772 217 800 |
Di seguito sono descritti i servizi del Responsabile della protezione dei dati (DPO) da fornire ai sensi del presente capitolato d’oneri.
| Servizio DPOe | I servizi includonod |
| Fornire informazioni e consulenza al Responsabile del trattamento, alla sua direzione e al personale in merito agli obblighi previsti dal GDPR. | Per tutta la durata del contratto. |
| Verificare la conformità del Titolare del trattamento al GDPR e alle politiche e procedure in materia di protezione dei dati adottate dal Titolare stesso, anche attraverso verifiche periodiche di conformità, audit interni e l’esame della documentazione pertinente in materia di protezione dei dati. | Una verifica iniziale della conformità all’inizio dell’incarico e una verifica annuale della conformità da completare entro e non oltre la fine di ciascun anno contrattuale. |
| Esaminare e aggiornare i registri delle attività di trattamento del responsabile del trattamento nell’ambito del monitoraggio continuo della conformità. | Una volta per ogni anno contrattuale, con aggiornamento entro un mese di calendario dalla notifica di qualsiasi nuova attività di trattamento o modifica sostanziale delle attività esistenti. È allegato il modello di registro delle attività di trattamento. |
| Fornire consulenza al Responsabile del trattamento in merito alle esigenze di formazione del personale in materia di conformità alla normativa sulla protezione dei dati e, ove espressamente concordato, sostenere le attività di sensibilizzazione. | Una valutazione delle esigenze formative per ogni anno contrattuale, documentata in una politica e in un piano di formazione del personale. |
| Fornire consulenza in merito alle valutazioni d’impatto sulla protezione dei dati (DPIA) e, se del caso, ad altre valutazioni dei rischi per la privacy, e monitorarne l’efficacia. | Consulenza strategica in materia di DPIA basata sulla verifica iniziale di conformità, aggiornata annualmente. Consulenza strategica in materia di DPIA fornita a seguito della notifica di una proposta di nuova attività o sistema di trattamento, o di modifica di quelli esistenti. *La redazione delle DPIA non rientra nell’ambito di questi Servizi e sarà considerata un Servizio aggiuntivo (quadro delle attività, MSA §5.5). |
| Fungere da punto di contatto per gli interessati in merito a questioni relative al trattamento dei loro dati personali e all’esercizio dei loro diritti ai sensi del GDPR, anche fornendo indicazioni al Titolare del trattamento nella gestione delle richieste relative ai diritti degli interessati, ove necessario. | I recapiti del Responsabile della protezione dei dati (DPO) sono messi a disposizione degli interessati. È incluso l’accesso al portale GDPRLocal tramite Privacy Manager. La gestione operativa e l’adempimento delle richieste relative ai diritti degli interessati, inclusi l’accesso ai dati, la cancellazione e la portabilità, rimangono di esclusiva responsabilità del Titolare del trattamento. *Il supporto diretto fornito al Titolare del trattamento in relazione alla gestione delle questioni relative ai diritti in materia di protezione dei dati esula dall’ambito dei presenti Servizi e sarà considerato un Servizio aggiuntivo. |
| Fungere da punto di contatto per l'Autorità di controllo competente in merito a questioni relative al trattamento dei dati personali e collaborare con l'Autorità di controllo ove necessario. | I dati di contatto del Responsabile della protezione dei dati (DPO) vengono messi a disposizione delle autorità di controllo competenti. Sono incluse le prime consulenze normative. *Il supporto diretto fornito al Titolare del trattamento in relazione alla gestione delle richieste delle autorità di controllo non rientra nell’ambito di questi Servizi e sarà considerato un Servizio aggiuntivo. |
| Fornire consulenza al Titolare del trattamento, ove necessario, in merito agli obblighi di notifica delle violazioni dei dati personali ai sensi degli articoli 33 e 34 del GDPR, a seguito della segnalazione di una violazione sospetta o confermata. | È incluso l'accesso a Data Breach Manager sul portale GDPRLocal. Vengono fornite consulenze iniziali al momento della notifica di una violazione dei dati personali sospetta o confermata. È incluso un modello di politica in materia di violazioni dei dati. *Il supporto diretto fornito al Titolare del trattamento in relazione alla gestione delle violazioni dei dati non rientra nell'ambito di questi Servizi e sarà considerato un Servizio aggiuntivo. |
| Riferire periodicamente ai vertici del Responsabile del trattamento in merito allo stato di conformità, ai rischi rilevanti in materia di protezione dei dati e alle raccomandazioni derivanti dall’esercizio delle funzioni del Responsabile della protezione dei dati. | Sono incluse le riunioni del Responsabile della protezione dei dati (DPO), a intervalli concordati e confermati con il Titolare del trattamento. La relazione del DPO sulla conformità viene presentata ogni 6 mesi. |
Il presente capitolato d’oneri potrà essere rivisto e aggiornato mediante accordo scritto tra le Parti, qualora ciò sia necessario per tenere conto di modifiche sostanziali alle attività di trattamento del Titolare del trattamento, ai requisiti di servizio o alle priorità in materia di conformità.
Il presente accordo scritto è stato concordato e sottoscritto dai rappresentanti autorizzati delle Parti.