Accordo per l'elaborazione dei dati

1.1. Oggetto. Al fine di adempiere agli obblighi previsti dal Contratto, l’Utente impartisce istruzioni e l’Amministrazione si impegna a trattare i dati personali di terzi raccolti o altrimenti trattati tramite le funzionalità della Piattaforma.

Le disposizioni del DPA costituiscono istruzioni documentate dell’Utente ai sensi della normativa vigente in materia di protezionedei dati.

1.2. Categorie di interessati. Ai fini del DPA, i terzi possono includere qualsiasi persona fisica, tra cui:
1) dipendenti , consulenti, appaltatori, partner commerciali e persone di contatto le cui informazioni sono pubblicate o rese disponibili in altro modo nell'ambito del Progetto dell'Utente;
2) candidati , clienti o partner attuali o potenziali dell'Utente che inviano dati personali tramite moduli di raccolta dati nell'ambito del Progetto dell'Utente;
3) visitatori del Progetto dell'Utente le cui informazioni vengono raccolte automaticamente.

1.3. Finalità del trattamento e categorie di dati personali. L’Amministrazione tratterà i dati personali per conto dell’Utente nell’ambito delle seguenti finalità:

1.4. Limitazioni al trattamento dei dati. L'Utente valuta autonomamente la liceità del trattamento dei dati personali sulla Piattaforma, nonché la possibilità di autorizzare l'Amministrazione a trattare tali dati. L'Utente accetta e riconosce che:
1) l'Amministrazione non tratta dati personali relativi alla salute, dati genetici, dati biometrici o altre categorie particolari di dati personali;
2) tLa funzione che consente di pubblicare contenuti sui Progetti non è destinata alla pubblicazione di immagini contenenti dati personali, comprese le foto di persone e le copie digitalizzate di documenti.

1.5. Durata del trattamento. L'Amministrazione tratterà i dati personali di terzi per tutta la durata del Contratto o per qualsiasi periodo supplementare necessario all'adempimento degli obblighi previsti dal Contratto, fino a quando tali dati non saranno cancellati secondo le procedure stabilite nel DPA.

2.1. Organizzazione del trattamento dei dati personali sulla Piattaforma. L'Utente, in qualità di titolare del trattamento, organizza autonomamente il trattamento dei dati personali degli individui sulla Piattaforma. L'Utente determina le finalità e le basi giuridiche del trattamento dei dati personali, la sua composizione, nonché l'elenco delle azioni e delle operazioni da eseguire.

2.2. Garanzia della conformità legale. Nel trattare i dati personali nell'ambito del Progetto, l'Utente deve garantire autonomamente il rispetto della legislazione applicabile. In particolare, l'Utente, senza il coinvolgimento dell'Amministrazione:
1) stabilisce la procedura per la raccolta dei consensi al trattamento dei dati personali sul Progetto, compreso l'uso di moduli di raccolta dati e/o servizi di analisi;
2) pubblica una politica sulla privacy o un'informativa sulla privacy sul Progetto;
3) nomina i responsabili e sviluppa una serie di documenti interni che regolano il trattamento dei dati.

2.3. Esistenza di una base giuridica. Tramite il trattamento dei dati personali sulla Piattaforma, l’Utente dichiara e garantisce di aver ottenuto i consensi degli interessati o altra base giuridica per il trattamento dei dati e il loro trasferimento all’Amministrazione ai sensi del DPA.

Su richiesta dell’Amministrazione inviata all’indirizzo e-mail dell’Utente specificato nell’Account, l’Utente si impegna a fornire documenti che confermino l’esistenza di basi giuridiche per il trattamento entro 24 ore dal ricevimento della richiesta.

2.4. Collegamento a servizi di terze parti. Durante l'utilizzo della Piattaforma, all'Utente può essere offerto di collegarsi a servizi di terze parti che raccolgono o trattano in altro modo dati personali, inclusi servizi di raccolta dati, sistemi di pagamento e/o servizi di consegna.

Il trattamento dei dati da parte dei servizi di terze parti è effettuato dai loro titolari che agiscono indipendentemente dall'Amministrazione e non agiscono in nome e/o per conto dell'Amministrazione. L'Amministrazione non è responsabile del trattamento dei dati personali da parte dei titolari dei servizi di terze parti.

L'Utente si impegna a garantire autonomamente la liceità del trattamento dei dati personali al momento della connessione ai Servizi di Terze Parti, inclusa l'emissione di istruzioni separate per il trattamento con i loro titolari.

2.5. Trasferimenti transfrontalieri. Durante l'utilizzo delle funzionalità della Piattaforma, può verificarsi il trasferimento transfrontaliero di dati personali di terzi su iniziativa dell'Utente, in particolare quando:
1) si modifica il Paese del profilo dell'Utente;
2) si concede l'accesso a un Progetto a un Utente con un altro paese di profilo;
3) si trasferisce un Progetto all'Account di un Utente con un altro paese di profilo.
4) si collegano Servizi di Terze Parti al Progetto.

L'Utente si impegna a garantire autonomamente la sicurezza del trasferimento transfrontaliero dei dati personali in conformità con i requisiti della legislazione applicabile.

3.1. Trasferimenti a terzi. L'Amministrazione trasferisce i dati personali, sulla base di accordi sul trattamento dei dati, ai seguenti responsabili del trattamento:
1) Hetzner Online GmbH – per l'archiviazione dei dati personali su server;
2) G-Core Labs SA – per l'archiviazione e il backup dei Progetti degli Utenti;
3) Google Cloud EMEA Limited – per garantire la sicurezza delle informazioni relative ai Progetti.

Con la presente, l'Utente concede all'Amministrazione un'autorizzazione generale scritta ad avvalersi dei responsabili del trattamento specificati per il trattamento dei dati personali.

Tutti i responsabili del trattamento che trattano i dati personali per conto dell'Amministrazione si impegnano a rispettare le misure di riservatezza, protezione e sicurezza richieste dalla legislazione applicabile.

Fatte salve le limitazioni di responsabilità qui stabilite, l'Amministrazione rimane responsabile nei confronti dell'Utente per gli atti e/o le omissioni dei responsabili del trattamento incaricati.

3.2. Modifiche all'elenco dei responsabili del trattamento incaricati. L'Amministrazione ha il diritto di coinvolgere altre terze parti nel trattamento dei dati personali, previa notifica all'Utente. La notifica viene inviata all'indirizzo e-mail utilizzato per l'autorizzazione sulla Piattaforma, oppure tramite la pubblicazione delle informazioni pertinenti nell'Account personale.

L'Utente ha il diritto di presentare obiezioni motivate alla modifica dell'elenco dei responsabili del trattamento incaricati entro 10 giorni dalla data di notifica. Allo stesso tempo, l'Utente comprende e riconosce che:
1) il coinvolgimento di terzi può essere necessario per il corretto adempimento degli obblighi dell'Amministrazione ai sensi del Contratto;
2) in caso di ricezione di obiezioni, l'Amministrazione può risolvere unilateralmente il Contratto in via extragiudiziale.

3.3. Sicurezza dei trasferimenti transfrontalieri. L'Amministrazione effettua trasferimenti transfrontalieri di dati personali sul territorio di:
1) Statimembri dell'Unione Europea – a fini di archiviazione e sicurezza delle informazioni;
2) Stati Uniti d'America – per l'archiviazione e il backup dei Progetti dell'Utente.

Prima di avviare un trasferimento transfrontaliero, l'Amministrazione determinerà se il paese verso cui vengono trasferiti i dati personali è riconosciuto come fornente un livello adeguato di protezione dei dati in conformità con la legge applicabile.

In caso di trasferimento di dati personali verso un paese che non garantisce il livello di protezione richiesto, l'Amministrazione si impegna a stipulare clausole contrattuali standard con il destinatario o a garantire l'applicazione di norme aziendali vincolanti.

4.1. Misure attuate. L'Amministrazione garantisce la riservatezza e assicura la sicurezza dei dati personali in conformità con la legislazione vigente, tra cui:
1) la tenuta di registri delle attività di trattamento;
2) la definizione di un elenco delle persone autorizzate a raccogliere e trattare i dati personali o ad accedervi;
3) l'istituzione di procedure di controllo dell'accesso ai dati personali;
4) l'uso di canali di comunicazione sicuri e della crittografia;
5) applicazione di tecniche di pseudonimizzazione, compreso l’uso di ID nei sistemi interni dell’Amministrazione;
6) implementazione di meccanismi di identificazione e/o autenticazione durante il trattamento dei dati personali;
7) utilizzo di sistemi di backup e ripristino;
8) valutazione e gestione dei rischi per la sicurezza delle informazioni;
9) inserimento dei requisiti di protezione e sicurezza dei dati nei contratti e/o negli accordi sul trattamento dei dati con i fornitori di servizi;
10) conduzione di audit tecnici periodici.

4.2. Violazione dei dati personali. Nel caso in cui venga individuata una violazione dei dati personali, che comporti la distruzione, la perdita, l’alterazione, la divulgazione non autorizzata e/o l’accesso accidentale o illecito ai dati personali di terzi, l’Amministrazione è tenuta a notificare all’Utente tale violazione senza indebito ritardo.

La notifica deve includere una descrizione della natura della violazione, delle possibili conseguenze per gli interessati e delle misure che l’Amministrazione ha adottato e/o intende adottare per mitigare tali conseguenze.

Allo stesso tempo, l'Utente comprende e riconosce che la notifica di una violazione dei dati personali non può in alcun caso essere considerata un'ammissione di colpa e/o responsabilità da parte dell'Amministrazione.

5.1. Fornitura di informazioni e verifiche. Su richiesta dell'Utente, durante la vigenza del DPA, l'Amministrazione è tenuta a fornire documenti e altre informazioni che confermino l'adozione e il rispetto delle misure necessarie all'esecuzione del DPA. Tuttavia, l'Utente può presentare tali richieste non più di una volta ogni 3 mesi.

Su richiesta scritta dell'Utente, l'Amministrazione si impegna a fornire assistenza nello svolgimento di audit o ispezioni, fornendo all'Utente le informazioni necessarie sulle procedure di trattamento dei dati personali.

5.2. Assistenza nell'adempimento degli obblighi. Come regola generale, l'Utente, in qualità di titolare del trattamento dei dati personali, deve garantire autonomamente il rispetto dei requisiti stabiliti dalla legge applicabile.

Tuttavia, tenendo conto della natura del trattamento, su richiesta scritta dell'Utente, l'Amministrazione fornirà assistenza ragionevole nell'adempimento degli obblighi relativi a:
1) garantire la sicurezza del trattamento;
2) preparare le notifiche di violazioni dei dati personali;
3) condurre valutazioni d'impatto sulla protezione dei dati;
4) condurre consultazioni preventive con le autorità di controllo;
5) trattare le richieste degli interessati attuando misure tecniche e organizzative appropriate, nella misura in cui ciò sia fattibile data la natura del trattamento.

6.1. Garanzia dei diritti degli interessati. L'Utente si impegna a trattare i dati personali sulla Piattaforma fino al raggiungimento delle finalità del trattamento. Qualora il consenso al trattamento dei dati personali venga revocato, o vengano meno i motivi che consentono tale trattamento, l’Utente provvederà autonomamente alla cancellazione dei dati personali.

6.2. Procedura di restituzione o cancellazione. A seguito di una richiesta specifica, l’Amministrazione provvederà, a scelta dell’Utente, a cancellare o restituire i dati personali ricevuti dall’Utente entro un termine non superiore a 30 giorni, salvo che la legge applicabile non stabilisca un termine diverso.

L'Amministrazione provvederà inoltre alla cancellazione dei dati personali alla scadenza del periodo di conservazione stabilito sulla Piattaforma o determinato autonomamente dall'Utente. In particolare, quando si utilizzano i moduli di raccolta dati sul Progetto, il periodo di conservazione dei dati sarà impostato tramite le relative impostazioni del Progetto.

Allo stesso tempo, l'Amministrazione avrà il diritto di non cancellare e/o non restituire i dati personali ricevuti dall'Utente qualora il diritto o l'obbligo di conservare tali dati sia previsto dalla legge applicabile.

6.3. Blocchi e restrizioni sulla Piattaforma. In caso di violazione o di ragionevole sospetto che l'Utente abbia violato il Contratto e/o la legislazione applicabile, l'Amministrazione avrà il diritto di bloccare l'account dell'Utente, nonché di adottare altre misure previstedal Contratto.

L'Utente comprende e riconosce che, qualora l'Amministrazione adotti misure amministrative, i dati personali trattati ai sensi del DPA potranno essere cancellati senza possibilità di successivo recupero.

7.1. Responsabilità dell’Amministrazione. L’Amministrazione non è responsabile delle azioni dell’Utente nel trattamento dei dati personali sulla Piattaforma. Eventuali reclami, richieste o lamentele di terzi relativi al trattamento dei propri dati personali devono essere risolti direttamente dall’Utente senza il coinvolgimento dell’Amministrazione.

L’Amministrazione non è inoltre responsabile di atti e/o omissioni relativi al trattamento dei dati personali di terzi qualora abbia agito esclusivamente in conformità con le istruzioni dell’Utente.

In ogni caso, la responsabilità dell'Amministrazione non potrà superare l'importo del costo del Piano pagato dall'Utente e valido durante il periodo in cui si verificano gli eventi che costituiscono la base per l'insorgere della responsabilità civile dell'Amministrazione.

7.2. Responsabilità dell'Utente e risarcimento dei danni. L'Utente, in qualità di titolare del trattamento ai sensi della legislazione della Federazione Russa, è individualmente responsabile nei confronti dei soggetti dei dati personali per la liceità del trattamento dei dati personali.

Nel caso in cui venga avviato un procedimento giudiziario e/o amministrativo contro l'Amministrazione, venga intentata un'azione legale o venga presentata una richiesta di risarcimento da parte di qualsiasi soggetto a causa della violazione da parte dell'Utente della procedura di trattamento dei dati personali, l'Utente è tenuto a risarcire l'Amministrazione per tutte le perdite, incluse le spese legali ragionevoli.

8.1. Legge applicabile. Indipendentemente dalle disposizioni del Contratto, il trattamento dei dati personali ai sensi delle presenti Istruzioni sarà regolato e interpretato in conformità con le leggi degli Emirati Arabi Uniti.

Qualora gli interessati i cui dati personali sono trattati dall’Amministrazione abbiano sede in uno Stato membro dell’Unione Europea e/o dello Spazio Economico Europeo, il trattamento dei dati personali sarà inoltre soggetto alle disposizioni del Regolamento generale sulla protezione dei dati.

8.2. Clausole contrattuali tipo. Il trattamento dei dati personali di persone fisiche situate nell'Unione Europea e/o nello Spazio Economico Europeo da parte dell'Amministrazione è inoltre regolato dalle Clausole Contrattuali Standard.

In conformità con il Regolamento generale sulla protezione dei dati, tali Clausole Contrattuali Standard garantiscono la liceità dei trasferimenti di dati personali verso gli Emirati Arabi Uniti.

In caso di conflitto tra le presenti Istruzioni e le disposizioni delle Clausole Contrattuali Standard, prevarranno le Clausole Contrattuali Standard.