Accordo sulla protezione dei dati

Accordo sul trattamento dei dati personali ai sensi dell'art. 28 del GDPR

Questo accordo sul trattamento dei dati personali regola l'elaborazione dei dati da parte di Lywand secondo il Regolamento Generale sulla Protezione dei Dati dell'UE. È un accordo tra Lywand Software GmbH, con sede in Austria, Josefstrasse 46a/6, A-3100 St.Pölten ("Responsabile del trattamento") e voi o l'azienda che rappresentate ("Titolare del trattamento"). Nei presenti termini di licenza, "noi", "nostro" o "nostra" si riferiscono a Lywand e alle sue aziende affiliate.

Il Titolare del trattamento e il Responsabile del trattamento sono collettivamente indicati come "Parti contrattuali". Il presente contratto sarà indicato come "Accordo".

1. Preambolo

1.1 Il Regolamento generale sulla protezione dei dati (GDPR) dell'UE è in vigore dal 25 maggio 2018. I relativi obblighi normativi riguardanti il rapporto tra responsabili e incaricati del trattamento sono soddisfatti dal presente accordo.

1.2 Le parti contraenti concordano che, per quanto riguarda il trattamento dei dati su cui si basa il presente accordo, il committente è da considerarsi il responsabile del trattamento (ai sensi dell'art. 4 n. 7 GDPR) e il contraente il responsabile del trattamento (ai sensi dell'art. 4 n. 8 GDPR).

1.3 In caso di futuri incarichi o rapporti contrattuali, le parti contraenti possono rendere il presente accordo parte integrante del contratto.

2. Oggetto del contratto

2.1 L'oggetto del contratto è l'esecuzione dei seguenti compiti da parte dell'Appaltatore per il Cliente:

Attività e finalità del trattamento dei dati

1. Fornitura del portale Lywand

2. Comunicazione via e-mail nell'ambito della funzione del portale Lywand

3. Comunicazione via e-mail nell'ambito del contratto di licenza

4. Gestione della licenza e fatturazione

La descrizione dettagliata del servizio si basa sul contratto principale, in particolare su quanto elencato e descritto nell'offerta del contraente.

2.2 Le seguenti categorie di dati possono essere trattate dalle seguenti categorie di soggetti, in particolare per l'importazione e la manutenzione del database:

3. Durata dell'accordo

3.1 Se il contratto è incluso come supplemento a un contratto specifico (vedere punto 1.3.) e questo contiene disposizioni separate sulla durata e sulle modalità di risoluzione, anche la durata e le modalità di risoluzione del presente contratto si baseranno sulla disposizione ivi contenuta. In caso contrario, si applica quanto segue:

3.2 Il presente accordo viene stipulato a tempo indeterminato. Entrambe le parti contraenti hanno il diritto di recedere dal presente accordo alla fine di ogni anno solare con un preavviso di 4 mesi.

3.3 Inoltre, ciascuna parte contraente ha il diritto di recedere dal presente contratto con effetto immediato, senza rispettare alcun termine di preavviso o data, in caso di giusta causa. Tale buona causa sussiste, ad esempio, se

• un accordo sottostante è stato risolto;

• venga aperta una procedura d'insolvenza contro il patrimonio dell'altra parte contraente o non venga aperta a causa della mancanza di copertura dei costi;

• l'altra parte contraente si dimostri inadatta ad adempiere agli obblighi concordati nel presente contratto.

Indipendentemente da qualsiasi risoluzione, gli obblighi di riservatezza sopravvivranno alla risoluzione del contratto senza limitazioni.

4. Obblighi dell'Appaltatore

4.1 Obbligo di seguire le istruzioni

Il Contraente si impegna a trattare i dati e i risultati del trattamento esclusivamente nell'ambito degli ordini scritti della Committente. Se l'Appaltatore riceve un ordine ufficiale di divulgazione dei dati della Committente, deve - se legalmente consentito - informare immediatamente la Committente e riferirsi all'autorità della Committente. Allo stesso modo, qualsiasi elaborazione dei dati per scopi propri dell'Appaltatore richiede un ordine scritto.

L'Appaltatore deve informare immediatamente la Committente se ritiene che un'istruzione della Committente violi le norme sulla protezione dei dati dell'Unione o degli Stati membri.

Sono severamente vietate le installazioni non autorizzate di terzi sui dispositivi del cliente o il download di dati dai dispositivi del cliente tramite chiavette USB e laptop. Sono espressamente vietate le foto di dipendenti, dispositivi o altre attrezzature del cliente. Le chiavette USB, i computer portatili, i telefoni cellulari e le fotocamere o altri dispositivi per il download e l'archiviazione di dati esterni in possesso dell'appaltatore sono sotto la sua piena responsabilità.

L'Appaltatore è avvisato che deve redigere un registro di trattamento per il presente trattamento dei dati con tutte le categorie di attività svolte per conto del Cliente ai sensi dell'art. 30 GDPR.

4.2 Obbligo di segretezza e confidenzialità

Il Contraente dichiara in modo giuridicamente vincolante di aver obbligato tutte le persone incaricate del trattamento dei dati a mantenere la riservatezza prima dell'inizio dei lavori o di essere soggette ad adeguati obblighi di riservatezza previsti dalla legge.

L'obbligo di riservatezza non si applica alle informazioni che erano già note a questa parte contraente o al pubblico in generale nel momento in cui sono state ottenute da una delle parti contraenti o che sono diventate note successivamente senza alcuna azione o violazione del contratto da parte di questa parte. Inoltre, gli obblighi non si applicano alle autorità o ai tribunali, a meno che non vi sia un diritto legale di rifiutare di testimoniare.

L'obbligo di riservatezza delle persone incaricate del trattamento dei dati rimane in vigore anche dopo la cessazione della loro attività e l'uscita dal Contraente.

4.3 Misure tecniche e organizzative

Il Responsabile del trattamento dichiara in modo giuridicamente vincolante di aver adottato tutte le misure necessarie per garantire la sicurezza del trattamento ai sensi dell'art. 32 del GDPR, ossia per la riservatezza, l'integrità, la disponibilità e la resilienza dei dati, nonché le procedure per la revisione, la valutazione e l'accertamento regolari, nonché le procedure per la pseudonimizzazione e la crittografia), Inoltre, l'implementazione di misure di sicurezza dei dati (privacy by design e privacy by default), la nomina di un responsabile della protezione dei dati e la notifica al cliente, se la nomina è richiesta dall'incaricato del trattamento ai sensi del GDPR, l'esecuzione di un'analisi dei rischi delle applicazioni dei dati, se ciò è richiesto dall'incaricato del trattamento ai sensi del GDPR.

Il Contraente dichiara inoltre in modo giuridicamente vincolante che il livello di protezione nell'elaborazione dei dati copre anche i rischi che potrebbero portare illegalmente o involontariamente alla perdita, alla distruzione, all'alterazione o alla divulgazione non autorizzata o all'accesso non autorizzato ai dati personali memorizzati o elaborati.

Con la sua firma, l'Appaltatore offre al Committente una garanzia sufficiente che le misure tecniche e organizzative adeguate sono implementate in modo tale che il trattamento sia effettuato in conformità ai requisiti dell'art. 28 par. 1 GDPR e garantisca la protezione dei diritti degli interessati.

In generale, le misure da adottare sono misure di sicurezza dei dati e misure volte a garantire un livello di protezione adeguato al rischio per quanto riguarda la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi. Occorre tenere conto dello stato dell'arte, dei costi di implementazione e del tipo, dell'ambito e delle finalità, nonché del rischio del trattamento.

4.4 Supporto al cliente per i diritti degli interessati

Il Contraente adotta le misure tecniche e organizzative per garantire che il Cliente possa soddisfare i diritti dell'interessato ai sensi del Capitolo III del GDPR (informazione, accesso, rettifica e cancellazione, portabilità dei dati, opposizione e processo decisionale automatizzato in singoli casi) in qualsiasi momento entro i termini di legge e fornisce al Cliente tutte le informazioni necessarie a tal fine. Se una richiesta corrispondente viene inviata all'appaltatore e quest'ultimo si rende conto che il richiedente crede erroneamente di essere il cliente dell'applicazione dati da lui gestita, l'appaltatore deve inoltrare la richiesta al cliente senza indugio e informare il richiedente.

4.5 Supporto al Cliente negli obblighi di cui agli Art. 32-36

L'Appaltatore supporterà il Cliente nell'adempimento degli obblighi di cui agli artt. 32-36 GDPR (misure di sicurezza dei dati, notifica delle violazioni dei dati personali all'autorità di controllo, notifica alla persona interessata da una violazione dei dati personali, valutazione dell'impatto sulla protezione dei dati, consultazione preventiva).

In particolare, una violazione dei dati del cliente tramite dispositivi o dipendenti dell'appaltatore deve essere immediatamente comunicata al cliente; le conseguenze legali e finanziarie di tale violazione dei dati devono essere interamente a carico dell'appaltatore.

4.6 Obbligo di cancellazione

Al termine del presente Contratto, l'Appaltatore è tenuto a consegnare alla Committente tutti i risultati dell'elaborazione e i documenti contenenti i dati. Se il Contraente elabora i dati in un formato tecnico speciale, è obbligato a restituire i dati dopo la risoluzione del presente contratto in questo formato o, su richiesta del Cliente, nel formato in cui ha ricevuto i dati dal Cliente o in un altro formato comune. I dati contenuti nei supporti di memorizzazione di dispositivi o parti di dispositivi che vengono sostituiti o scambiati dall'Appaltatore nell'ambito della manutenzione devono essere distrutti in modo verificabile dall'Appaltatore.

5. Luogo di trattamento dei dati

5.1 Tutte le attività di trattamento dei dati del Contraente - fatte salve le seguenti disposizioni - saranno svolte esclusivamente all'interno del SEE.

5.2 I trasferimenti di dati personali a un paese terzo e le attività di trattamento svolte in paesi terzi sono consentiti solo se per tale paese terzo esiste una decisione di adeguatezza della Commissione ai sensi dell'art. 45 (3) GDPR. Se non esiste una tale decisione della Commissione, l'appaltatore deve fornire altre garanzie adeguate per un livello adeguato di protezione dei dati, compresa l'effettiva applicabilità dei diritti degli interessati in conformità al GDPR. A tal fine, il Contraente avrà a disposizione tutte le opzioni di cui all'art. 46 (2) e (3) GDPR, per cui è obbligo esclusivo del Contraente garantire l'efficacia delle opzioni utilizzate e le eventuali autorizzazioni da ottenere dall'autorità di controllo.

6. Subappalto

6.1 Ai sensi della presente disposizione, per rapporti di subappalto si intendono i servizi che si riferiscono direttamente alla fornitura del servizio principale. I servizi che l'Appaltatore utilizza da terzi come servizio accessorio a supporto dell'esecuzione dell'ordine non sono da intendersi come rapporti di subappalto ai sensi della presente disposizione. Ciò comprende, ad esempio, i servizi accessori che l'appaltatore utilizza, ad esempio servizi di telecomunicazione, servizi di hosting puro, servizi postali/trasporto, manutenzione e assistenza agli utenti o smaltimento di supporti di dati, nonché altre misure per garantire la riservatezza, la disponibilità, l'integrità e la resilienza dell'hardware e del software dei sistemi di elaborazione dati.

6.2 Le parti contraenti possono avvalersi di incaricati del trattamento per l'esecuzione degli ordini. L'utilizzo di tali elaboratori ai fini del trattamento dei dati personali è consentito solo previo consenso espresso e documentato del partner contrattuale. Il Cliente dà il proprio consenso all'utilizzo di servizi cloud per l'elaborazione e la gestione dei dati dei clienti nel CRM (azienda, telefono, e-mail, nome) e per la comunicazione con partner e clienti (tramite Office 365), nonché per l'elaborazione dei dati dell'applicazione stessa (Amazon Web Services EMEA SARL, sito di Francoforte).

6.3 Tuttavia, il Contraente è tenuto ad adottare accordi e misure di controllo adeguati e conformi alla legge per garantire la protezione e la sicurezza dei dati del Cliente, anche nel caso di servizi accessori esternalizzati.

7. Diritti di controllo del cliente

7.1 La Committente ha il diritto di ispezionare e controllare in qualsiasi momento le strutture di elaborazione dei dati dell'Appaltatore in relazione all'elaborazione dei dati da essa forniti, sia da parte propria che da parte di terzi tecnicamente idonei da essa incaricati.

7.2 L'Appaltatore si impegna a fornire alla Committente le informazioni necessarie per controllare l'adempimento degli obblighi previsti dal presente Contratto in relazione ai dati forniti. L'Appaltatore non può pretendere alcun compenso per aver consentito alla Committente di effettuare i controlli.

8. Responsabilità

8.1 L'Appaltatore riconosce che, oltre ai rimedi amministrativi o extragiudiziali disponibili, gli interessati hanno diritto a un rimedio giudiziario efficace contro l'Appaltatore in caso di violazione da parte di quest'ultimo. Possono agire in giudizio per danni materiali o morali, per cui ogni parte coinvolta in un'operazione di trattamento è responsabile dei danni causati dal trattamento illecito. La responsabilità non si applica se si può dimostrare l'assenza di responsabilità per la circostanza che ha causato il danno.

8.2 Se più di un Appaltatore o più di un Committente o sia l'Appaltatore che il Committente sono responsabili di un danno, ogni Appaltatore e ogni Committente è responsabile per l'intero danno. In caso di mancato rispetto degli accordi contrattuali per la protezione dei diritti degli interessati e/o per il rispetto delle disposizioni del Regolamento generale sulla protezione dei dati e/o per la sicurezza dei dati da parte dell'Appaltatore e di eventuali danni risultanti per la Committente, quest'ultima può indennizzare e tenere indenne l'Appaltatore.

8.3 In deroga agli articoli 82, 83 e 84 del GDPR, un appaltatore che determina le finalità e i mezzi del trattamento in violazione del GDPR sarà considerato il responsabile del trattamento in relazione a tale trattamento ai sensi dell'articolo 28 (10) del GDPR.

9. Disposizioni finali

9.1 Qualora una o più disposizioni contenute nel presente contratto risultino nulle o inefficaci o perdano efficacia a causa di circostanze successive o qualora venga individuata una lacuna contrattuale di comune accordo tra le parti contraenti, ciò non pregiudica la validità delle restanti disposizioni. In tal caso, le parti contraenti si impegnano a integrare efficacemente il contratto con una disposizione corrispondente allo scopo giuridico ed economico delle disposizioni contrattuali non valide o incomplete.

9.2 Il presente contratto è disciplinato esclusivamente dal diritto sostanziale della Repubblica d'Austria, con esclusione delle disposizioni sul conflitto di leggi e della Convenzione delle Nazioni Unite sui contratti di vendita internazionale di merci. Ciò vale anche per la questione della stipula del presente contratto e per le conseguenze giuridiche dei suoi effetti successivi.

9.3 Le parti contraenti si impegnano a risolvere in via amichevole eventuali controversie derivanti da o connesse all'esecuzione del presente contratto. Qualora non sia possibile raggiungere un accordo amichevole, si conviene che il tribunale di St. Pölten, competente per materia, sarà competente per tutte le controversie derivanti o connesse al presente contratto o alla sua validità.