Il Contratto quadro di servizio GDPRLocal e le Condizioni aggiuntive ivi contenute regolano i nostri prodotti, servizi e rapporti con i clienti.
Non è previsto alcun obbligo di acquisto dei servizi. Non è necessaria una carta di credito per registrarsi e, una volta effettuata la registrazione, i servizi possono essere acquistati e attivati in qualsiasi momento.
Il presente Allegato costituisce parte integrante del Contratto quadro di prestazione di servizi (“Contratto”) stipulato tra il Cliente (che agisce in qualità di “Organizzazione” ai sensi del PDPA) e GDPRLocal Ltd (“GDPRLocal”). Esso definisce l’ambito dei servizi di Responsabile della protezione dei dati di Singapore forniti da GDPRLocal nell’ambito del ruolo statutario assegnato ai sensi della sezione 11 del Personal Data Protection Act 2012 di Singapore (“PDPA”). I termini utilizzati nel presente Allegato hanno lo stesso significato attribuito loro nel Contratto quadro di prestazione di servizi.
Ai fini del presente Allegato: per “PDPA” si intende la Legge sulla protezione dei dati personali del 2012 di Singapore, unitamente a tutta la normativa secondaria, alle linee guida consultive e ai codici di condotta emanati di volta in volta dalla Commissione per la protezione dei dati personali (“PDPC”); per “DPO” si intende il responsabile della protezione dei dati designato dall’Organizzazione ai sensi dell’articolo 11 della PDPA; per “Registro dei DPO della PDPC” si intende il registro dei responsabili della protezione dei dati tenuto dalla Commissione per la protezione dei dati personali di Singapore.
Il presente Servizio è fornito esclusivamente su appuntamento, con un contingente mensile limitato di consulenze. Le attività sostanziali relative alla conformità al PDPA, lo sviluppo di politiche e procedure, la gestione delle richieste degli interessati, la risposta agli incidenti e il coinvolgimento sostanziale della PDPC non rientrano nell’abbonamento e sono disponibili come Servizi aggiuntivi ai sensi del §6.
1.1 Nomina. A decorrere dalla Data di inizio del servizio, il Cliente nomina GDPRLocal quale proprio Responsabile della protezione dei dati ai fini della sezione 11 del PDPA. Il presente Allegato costituisce la designazione scritta del Responsabile della protezione dei dati. La nomina non comporta il trasferimento di alcun obbligo dell’Organizzazione a GDPRLocal, non conferisce l’autorità di prendere decisioni sostanziali in materia di conformità per conto del Cliente e non costituisce consulenza legale né rappresentanza legale.
1.2 Ruolo previsto dalla legge. Nell’ambito dell’abbonamento, GDPRLocal dovrà:
1.3 Quota mensile di consulenza. L’abbonamento include fino a un’ora (1) di consulenza generale in materia di PDPA per mese di calendario, fornita tramite e-mail o chiamata programmata. La quota non è trasferibile ai mesi successivi e non è cumulabile. Il servizio è limitato a una consulenza fornita con il massimo impegno; non include la risposta agli incidenti, la redazione di documentazione sostanziale, il supporto alle indagini della PDPC, la gestione delle richieste degli interessati, le attività di audit né alcuna delle attività di cui al §5. Il tempo necessario oltre il servizio mensile, o per qualsiasi attività al di fuori dell’ambito incluso, è disponibile come Servizio Aggiuntivo ai sensi del §6 e fatturato alla Tariffa per i Servizi Professionali indicata nel Listino Prezzi.
1.4 Iscrizione nel registro del PDPC. Il Cliente è responsabile della presentazione della designazione del DPO al PDPC (sia tramite il servizio di registrazione aziendale del PDPC che in altro modo) e di mantenere aggiornata tale presentazione. GDPRLocal fornirà le informazioni di contatto del DPO designato necessarie per la presentazione e comunicherà al Cliente qualsiasi modifica ai recapiti del DPO designato entro trenta (30) giorni lavorativi.
2.1 Indipendenza professionale. GDPRLocal svolgerà il ruolo di responsabile della protezione dei dati (DPO) con ragionevole diligenza e competenza e non accetterà istruzioni dal Cliente in merito allo svolgimento di compiti che potrebbero compromettere l’integrità professionale del ruolo di DPO o i requisiti del PDPA.
2.2 Nessuna delega del ruolo legale del Cliente. La nomina di GDPRLocal a responsabile della protezione dei dati (DPO) non esonera il Cliente da alcuna responsabilità legale ai sensi del PDPA. Il Cliente rimane l’Organizzazione a tutti gli effetti ai sensi del PDPA e conserva la responsabilità operativa esclusiva per la conformità al PDPA, ivi compresa la conformità alle Disposizioni sulla protezione dei dati, alle Disposizioni sul divieto di chiamate commerciali e alla sezione 26 (trasferimenti di dati personali al di fuori di Singapore).
3.1 Tempi di risposta. Nell’ambito della quota mensile di consulenza stabilita al §1.3, GDPRLocal si impegna a rispondere al referente designato dal Cliente entro tre (3) giorni lavorativi di Singapore. I tempi di risposta si riferiscono alla conferma di ricezione e non alla risoluzione sostanziale di qualsiasi questione.
3.2 Inoltro della prima risposta. Qualora GDPRLocal riceva una comunicazione da un interessato o dalla PDPC indirizzata al Responsabile della protezione dei dati (DPO) designato, GDPRLocal provvederà a inoltrare tale comunicazione al referente designato dal Cliente tempestivamente, di norma entro tre (3) giorni lavorativi di Singapore dal ricevimento. La gestione sostanziale della comunicazione e la risposta alla stessa sono di competenza del Cliente.
3.3 Richieste motivate da parte del PDPC. Qualora GDPRLocal riceva una richiesta dal PDPC che specifichi un termine per la risposta, GDPRLocal ne darà comunicazione senza indebito ritardo al referente designato dal Cliente, specificando il termine. Se il Cliente non fornisce tempestivamente le informazioni o le istruzioni necessarie, GDPRLocal potrà (a) inviare al PDPC una conferma di ricezione, oppure (b) comunicare al PDPC che la questione viene inoltrata all’Organizzazione. GDPRLocal non sarà responsabile del mancato rispetto delle scadenze causato dalla mancata fornitura tempestiva di informazioni o istruzioni da parte del Cliente.
Oltre agli obblighi previsti dal §6 dell’MSA, il Cliente è tenuto a:
4.1 indicare a GDPRLocal un referente designato per il Servizio, fornendo le informazioni, i documenti e la collaborazione ragionevolmente necessari affinché GDPRLocal possa svolgere il ruolo di responsabile della protezione dei dati (DPO) assegnatogli;
4.2 iscrivere e mantenere la designazione di responsabile della protezione dei dati (DPO) nel Registro dei DPO della PDPC (o in qualsiasi registro successivo gestito dalla PDPC) utilizzando le informazioni di contatto del DPO fornite da GDPRLocal, e aggiornare tempestivamente il registro in caso di eventuali modifiche comunicate da GDPRLocal;
4.3 mantenere la responsabilità operativa esclusiva in materia di conformità al PDPA, inclusi, a titolo esemplificativo ma non esaustivo: il rispetto delle disposizioni in materia di protezione dei dati e delle disposizioni “Do Not Call” del PDPA; lo sviluppo, il mantenimento e l’attuazione delle politiche e delle prassi necessarie per adempiere agli obblighi dell’Organizzazione ai sensi del PDPA; la gestione, la valutazione e la risposta alle richieste di accesso, rettifica e altre richieste da parte degli interessati; l’identificazione, il contenimento, l’indagine, la correzione e la notifica delle violazioni dei dati e di altri incidenti relativi alla protezione dei dati; la formazione e la sensibilizzazione interne in materia di PDPA; e la cooperazione con la PDPC in relazione a qualsiasi indagine, inchiesta, direttiva o azione di applicazione della legge;
4.4 rispettare l’articolo 26 del PDPA in relazione a qualsiasi trasferimento di dati personali al di fuori di Singapore e assumersi la responsabilità esclusiva di garantire il livello di protezione previsto dalla legge per tali trasferimenti;
4.5 informare tempestivamente GDPRLocal in merito a: (a) qualsiasi violazione dei dati, sospetta o effettiva; (b) qualsiasi comunicazione da parte della PDPC; (c) qualsiasi modifica sostanziale alle attività di trattamento o all’attività commerciale del Cliente che possa influire sul ruolo del Responsabile della protezione dei dati (DPO); e (d) qualsiasi contenzioso, provvedimento esecutivo o procedimento normativo relativo alla conformità del Cliente al PDPA;
4.6 rispondere tempestivamente alle comunicazioni inoltrate da GDPRLocal e fornire tempestivamente le istruzioni e le decisioni necessarie per la gestione di tali comunicazioni;
4.7 Non intraprendere alcuna azione, né richiedere a GDPRLocal di intraprendere alcuna azione, che possa (a) esporre GDPRLocal a sanzioni esecutive o normative diverse da quelle che costituiscono una conseguenza inevitabile del ruolo di responsabile della protezione dei dati (DPO) assegnato; (b) richiedere a GDPRLocal di fornire dichiarazioni inesatte al PDPC o a qualsiasi altra autorità; oppure (c) indurre GDPRLocal ad agire in violazione delle normative applicabili.
5.1 I Servizi sono limitati al ruolo previsto dalla legge e all’incarico di consulenza ivi compreso, come descritto al §1. I Servizi non includono, e non devono essere presentati a terzi come se includessero, alcuno dei seguenti elementi (ciascuno dei quali costituisce un Servizio Aggiuntivo ai sensi del §6):
5.2 GDPRLocal non si assume alcuna responsabilità gestionale, alcun controllo operativo né alcuna autorità decisionale sostanziale in merito alla conformità del Cliente al PDPA; tali responsabilità, controllo e autorità rimangono di competenza del Cliente in qualità di Organizzazione.
5.3 GDPRLocal non garantisce che il Cliente sia, o sarà, conforme al PDPA. La conformità al PDPA è di esclusiva responsabilità del Cliente.
6.1 Ambito di applicazione. I Servizi sono limitati a quelli indicati al §1.
6.2 Servizi aggiuntivi. Qualora il Cliente richieda servizi che esulano dall’ambito di applicazione del §1 (comprese le voci elencate al §5.1), GDPRLocal ne darà comunicazione scritta al Cliente (è sufficiente un’e-mail), fornendo al contempo una stima in buona fede del tempo o dei costi aggiuntivi necessari. I Servizi aggiuntivi non potranno avere inizio fino a quando il Cliente non ne avrà dato l’autorizzazione scritta (è sufficiente un’e-mail).
6.3 Fatturazione. I Servizi aggiuntivi autorizzati ai sensi del §6.2 vengono fatturati alla Tariffa per i Servizi Professionali applicabile indicata nel Listino Prezzi, a meno che le parti non concordino espressamente per iscritto una tariffa diversa prima dell’inizio dei lavori.
6.4 Registrazioni. GDPRLocal conserva le registrazioni relative al tempo impiegato e alle attività svolte nell’ambito del Servizio e di eventuali Servizi aggiuntivi, e le metterà a disposizione del Cliente su richiesta motivata.
7.1 Le parti riconoscono che GDPRLocal, in qualità di responsabile della protezione dei dati (DPO) designato, è soggetto a un obbligo di riservatezza in relazione alle informazioni ricevute nell’esercizio delle sue funzioni di DPO. Tale obbligo opera indipendentemente dagli obblighi reciproci di riservatezza di cui al §7 dell’Accordo quadro (MSA) e si aggiunge a essi. In particolare:
8.1 Natura consultiva. Il ruolo di GDPRLocal ai sensi del presente Allegato è limitato alla funzione statutaria assegnata e all’incarico consultivo ivi previsto. GDPRLocal non garantisce la conformità del Cliente al PDPA e non si assume alcuna responsabilità per eventuali decisioni prese o azioni intraprese dal Cliente sulla base dei consigli forniti nell’ambito dell’incarico mensile. Il Cliente mantiene la responsabilità operativa esclusiva in merito alla conformità al PDPA, come stabilito al §4.3.
8.2 Limitazione di responsabilità (specifica per il servizio). Fatto salvo il §8.4, la responsabilità complessiva di ciascuna delle parti ai sensi del presente Allegato non potrà superare l’importo totale dei corrispettivi pagati o dovuti dal Cliente in relazione al Servizio nel periodo di dodici (12) mesi immediatamente precedente l’evento che ha dato origine alla richiesta di risarcimento. Nessuna delle parti sarà responsabile per danni indiretti, consequenziali, speciali o punitivi.
8.3 Responsabilità del Cliente. Fatto salvo quanto previsto al §8.2, GDPRLocal non avrà alcuna responsabilità, e il Cliente si assume la responsabilità esclusiva per: qualsiasi sanzione pecuniaria, disposizione o provvedimento inflitto al Cliente da parte del PDPC; qualsiasi perdita derivante dalla mancata presentazione, mantenimento o aggiornamento da parte del Cliente della designazione del DPO nel Registro dei DPO del PDPC; qualsiasi perdita derivante dal mancato rispetto da parte del Cliente del PDPA (inclusa, a titolo esemplificativo ma non esaustivo, la sezione 26 in materia di trasferimenti transfrontalieri); qualsiasi perdita derivante dalla mancata notifica da parte del Cliente di una questione ai sensi del §4.5; e qualsiasi perdita derivante dall’inoltro in buona fede da parte di GDPRLocal di comunicazioni al Cliente, qualora quest’ultimo non abbia risposto in modo adeguato.
8.4 Esclusioni dalla limitazione. Il limite di cui al §8.2 non si applica a: responsabilità per morte o lesioni personali causate da negligenza; frode o dichiarazioni fraudolente; o qualsiasi altra responsabilità che non possa essere limitata dalle normative applicabili.
9.1 Durata. Il presente Allegato ha inizio alla Data di avvio del servizio e ha una durata iniziale di dodici (12) mesi (la “Durata iniziale”), salvo che non venga risolto anticipatamente ai sensi del presente §9 o del §12 dell’MSA. Esso si rinnova automaticamente per periodi di rinnovo successivi di dodici (12) mesi, a meno che una delle parti non comunichi per iscritto la propria intenzione di non rinnovarlo ai sensi del §9.2.
9.2 Risoluzione per motivi di convenienza. In deroga a quanto previsto dal §12.3 dell’MSA, ciascuna delle parti può risolvere il presente Allegato per motivi di convenienza, dandone preavviso scritto all’altra parte con almeno trenta (30) giorni di anticipo tramite e-mail; tale preavviso avrà efficacia prima dell’inizio del successivo ciclo di fatturazione mensile.
9.3 Risoluzione per motivi di integrità normativa. GDPRLocal può risolvere il presente Allegato con effetto immediato qualora (a) la mancata collaborazione, l’inadempienza o le istruzioni del Cliente mettano GDPRLocal in una posizione insostenibile in qualità di Responsabile della protezione dei dati (DPO) designato (compresi i casi in cui il proseguimento dell’adempimento richiederebbe a GDPRLocal di agire in violazione del PDPA o di fornire dichiarazioni inesatte alla PDPC); oppure (b) il Cliente fornisca informazioni sostanzialmente inesatte, tali da impedire a GDPRLocal di continuare in buona fede a presentarsi come responsabile della protezione dei dati designato. Il Cliente si assume la responsabilità esclusiva di qualsiasi conseguenza normativa derivante da tale risoluzione, inclusa qualsiasi lacuna di copertura risultante nel Registro dei responsabili della protezione dei dati della PDPC.
9.4 Conseguenze della risoluzione. In caso di risoluzione o scadenza: GDPRLocal cesserà di presentarsi come responsabile della protezione dei dati (DPO) del Cliente entro cinque (5) giorni lavorativi; il Cliente dovrà aggiornare tempestivamente il Registro dei DPO della PDPC per rimuovere la designazione di GDPRLocal e nominare un DPO sostitutivo ove richiesto dal PDPA; inoltre, il Cliente dovrà pagare tutte le commissioni e i costi ancora dovuti. Le clausole 4.3, 7, 8 e il presente §9 resteranno in vigore anche dopo la risoluzione.
La presente Dichiarazione di lavoro (“SOW”) è allegata all’Allegato 7 ai Servizi (Servizi DPO a Singapore) e ne costituisce parte integrante; tale Allegato, a sua volta, fa parte del Contratto quadro di servizi stipulato tra il Cliente e GDPRLocal Ltd. I termini in maiuscolo hanno lo stesso significato attribuito loro nell’Allegato o nel Contratto.
Il SOW viene generato e registrato da GDPRLocal al momento dell'attivazione del Servizio. I campi segnaposto (evidenziati di seguito) vengono compilati attingendo dai dati dell'account del Cliente e dal Registro di attivazione del Servizio.
| Nome dell'azienda | [Nome dell'azienda] |
| Sede legale | [Sede legale] |
| Referente principale | [Nome del referente] |
| Ruolo | [Ruolo di contatto] |
| [Indirizzo e-mail di contatto] | |
| Telefono | [Numero di telefono] |
| Territorio | Singapore (PDPA) |
| Base giuridica | Nomina a responsabile della protezione dei dati ai sensi dell’articolo 11 del PDPA |
| Abbonamento incluso | Nomina prevista dalla legge + recapiti del responsabile della protezione dei dati (DPO) ai sensi del PDPC + inoltro delle prime segnalazioni + fino a 1 ora di consulenza generale al mese di calendario (da utilizzare entro il mese, pena la perdita del diritto) |
| Unità aziendali / attività di trattamento interessate | [elenco delle unità aziendali, delle funzioni o delle attività di trattamento che rientrano nell’ambito di competenza del responsabile della protezione dei dati (DPO) designato] |
| Esclusioni dall'ambito di applicazione (se presenti) | [altrimenti “nessuno”] |
Tutte le tariffe relative al presente Servizio sono riportate nel Listino prezzi MSA. Il Servizio comprende le seguenti categorie tariffarie:
| Abbonamento al DPO di Singapore | Come indicato nel listino prezzi. Pagabile mensilmente a partire dalla data di inizio del servizio. Include la nomina prevista dalla legge, i recapiti del responsabile della protezione dei dati (DPO) ai sensi del PDPC, l’inoltro delle prime segnalazioni e fino a 1 ora di consulenza generale per mese di calendario. |
| Servizi aggiuntivi (consulenza oltre la quota mensile di 1 ora, risposta agli incidenti, elaborazione delle politiche, gestione delle richieste di accesso ai dati personali (DSAR), supporto nelle indagini della PDPC e tutte le altre voci elencate all’Allegato §5.1) | Alla tariffa per i servizi professionali indicata nel listino prezzi, previa autorizzazione scritta ai sensi dell’Allegato §6. |
| Frequenza di fatturazione | [mensile / annuale] |
| Valuta | GBP, IVA e altre imposte applicabili escluse. |
| Nominato responsabile della protezione dei dati (DPO) (ufficiale) | GDPRLocal Ltd |
| Persona designata a ricoprire il ruolo di responsabile della protezione dei dati (DPO) | [Nome da comunicare al momento dell'attivazione] |
| Sede legale | Suite frontale al 1° piano, 27-29 North Street, Brighton, Inghilterra, BN1 1EB, Regno Unito |
| [email protected] | |
| Tel. | +44 1772 217 800 |
Il Cliente dovrà utilizzare le informazioni di contatto sopra indicate per l’invio alla banca dati dei responsabili della protezione dei dati (DPO) del PDPC e per la pubblicazione nelle informative sulla privacy del Cliente, ove richiesto. GDPRLocal comunicherà al Cliente eventuali cambiamenti relativi alla persona indicata entro trenta (30) giorni lavorativi.
Il Cliente dovrà presentare la seguente designazione del Responsabile della protezione dei dati (DPO) al Registro dei DPO della PDPC (o a qualsiasi registro che ne prenda il posto) e dovrà pubblicare le informazioni di contatto del DPO nelle proprie informative sulla privacy in conformità con il PDPA:
“Responsabile della protezione dei dati (PDPA di Singapore, art. 11): GDPRLocal Ltd, 1° piano, Front Suite, 27-29 North Street, Brighton, Inghilterra, BN1 1EB, Regno Unito. Contatti: [email protected], +44 1772 217 800.”
La tabella sottostante illustra l'ambito di applicazione del Servizio DPO. Le voci contrassegnate come “Incluse” sono comprese nell'abbonamento. Le voci contrassegnate come “Su richiesta” sono Servizi aggiuntivi ai sensi dell'Allegato §6, disponibili alla Tariffa dei Servizi Professionali previa autorizzazione scritta.
| Servizio | Descrizione | Cronologia / Inclusione |
|---|---|---|
| Nomina prevista dalla legge | Nomina ufficiale a Responsabile della protezione dei dati del Cliente ai sensi dell’articolo 11 del PDPA; comunicazione dei recapiti del Responsabile della protezione dei dati designato | Incluso / In corso |
| Elenco dei responsabili della protezione dei dati (DPO) del PDPC | GDPRLocal fornisce i dati di contatto del responsabile della protezione dei dati (DPO) designato; il cliente provvede all’inserimento e all’aggiornamento della voce nel registro | Incluso / In corso |
| Inoltro di prima risposta | Ricevere le comunicazioni indirizzate al Responsabile della protezione dei dati (DPO) da parte degli interessati e del PDPC; inoltrarle al Cliente entro 3 giorni lavorativi di Singapore | Incluso / In corso |
| Allocazione consigliata mensile | Fino a 1 ora di consulenza generale in materia di PDPA per mese di calendario; se non utilizzata, la quota va persa e non è possibile riportarla al mese successivo | Incluso / Mensile (limite di 1 ora) |
| Consulenza sostanziale in materia di PDPA di durata superiore a 1 ora | Assistenza consultiva oltre la quota mensile | Su richiesta (Servizio aggiuntivo) |
| Sviluppo di politiche e procedure | Redazione, revisione o attuazione di politiche, informative, procedure o registri relativi al PDPA | Su richiesta (Servizio aggiuntivo) |
| Gestione delle richieste degli interessati | Valutazione, gestione o risposta a richieste di accesso, rettifica, cancellazione o di altro tipo | Su richiesta (Servizio aggiuntivo) |
| Violazione dei dati / risposta agli incidenti | Contenimento, indagine, misure correttive, notifica e coinvolgimento del PDPC in relazione a una violazione | Su richiesta (Servizio aggiuntivo) |
| Coinvolgimento sostanziale del PDPC | Supporto alle indagini del PDPC, risposta diretta o intervento di applicazione della normativa oltre l'inoltro della prima risposta | Su richiesta (Servizio aggiuntivo) |
| Valutazioni d’impatto o di rischio relative alla protezione dei dati | Valutazioni d'impatto o di rischio incentrate sul PDPA | Su richiesta (Servizio aggiuntivo) |
| Audit e analisi delle lacune | Valutazioni della preparazione alla conformità al PDPA, analisi delle lacune o supporto agli audit interni | Su richiesta (Servizio aggiuntivo) |
| Formazione e cultura in materia di protezione dei dati | Formazione, seminari, programmi di sensibilizzazione, attività di promozione della cultura | Su richiesta (Servizio aggiuntivo) |
Il presente SOW potrà essere rivisto e aggiornato previo accordo scritto tra le parti, qualora ciò sia necessario per riflettere modifiche sostanziali alle attività di trattamento del Cliente, ai requisiti di servizio o alle priorità di conformità. Qualsiasi aggiornamento di questo tipo sarà registrato come SOW revisionato associato all’account del Cliente.
Il presente capitolato d’oneri si considera accettato dal Cliente al momento dell’attivazione del Servizio (sia che avvenga tramite attivazione all’interno del portale, sia che avvenga tramite conferma scritta accettata da GDPRLocal).
▼ VOCI DELL'ELENCO TARIFFARIO ▼ COPIA / INCOLLA NELL'ELENCO TARIFFARIO MSA ▼
La presente sezione non fa parte dell’Allegato sui servizi. Essa riporta le voci relative ai prezzi che devono essere aggiunte al Listino prezzi MSA affinché i riferimenti alle tariffe di cui al §6.2 dell’Allegato e al §3 dell’Appendice siano corretti. Copiare il blocco sottostante nel Listino prezzi come nuova sottosezione sotto la voce “Servizi di abbonamento di base”.
| Servizio | Tariffa |
|---|---|
| Abbonamento al servizio DPO di Singapore (nomina prevista dalla legge + recapiti del DPO della PDPC + inoltro delle prime segnalazioni + 1 ora di consulenza generale per mese di calendario, da utilizzare entro il mese, pena la perdita del diritto) | 150 sterline al mese |
| Servizi aggiuntivi (consulenza oltre la quota mensile di 1 ora, o qualsiasi voce elencata al §5.1 dell’Allegato) | Alla tariffa scontata per i servizi professionali già indicata nel listino prezzi |
Tutte le tariffe sono al netto dell'IVA e di eventuali imposte applicabili.