Privacy by Design e Privacy by Default

Il Responsabile si impegna ad osservare ai fini della selezione e dell’utilizzo nell’ambito della propria attività di strumenti, prodotti, applicazioni e/o servizi, i principi di Privacy by Design e Privacy by Default, di cui all’articolo 25 del GDPR. ll principio di Privacy by Design ha la finalità di garantire un corretto livello di protezione dei dati in tutte le attività di trattamento e attuazioni effettuate all’interno di un’organizzazione. Il principio di Privacy by Default stabilisce, invece, che per impostazione predefinita le imprese dovrebbero trattare solo i dati personali nella misura necessaria e sufficiente per le finalità previste e per il periodo strettamente necessario a tali fini.

• Impegni del Responsabile nel ruolo di Amministratore di sistema

Il Fornitore in ragione delle funzioni cui è tenuto nella prestazione dei Servizi contrattualizzati può assumere il ruolo di Amministratore di sistema.

In tal caso il Fornitore è tenuto ad osservare le disposizioni definite dal Provvedimento del Garante recante le “Misure ed accorgimenti prescritti ai titolari dei trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di amministratore di sistema – 27 novembre 2008” così come modificato in base al provvedimento del 25 giugno 2009 e s.m.i.

Nei casi in cui l’attività svolta dal Responsabile, in virtù del Contratto, coinvolga quindi l’impiego di Amministratori di Sistema, il Responsabile si impegna a:

• Identificare e designare per iscritto i propri Amministratori di Sistema (di seguito “Ads”), fornendo loro istruzioni appropriate per iscritto e revocandone il ruolo in caso di necessità, con conferma al Titolare qualora richiesta;

• Vigilare sull’osservanza delle istruzioni impartite agli ADS, supervisionando le operazioni loro assegnate nell’ambito delle autorizzazioni conferite, richiamandoli all’obbligo di mantenere la massima riservatezza sui dati a cui accedono, anche per caso fortuito, nell’esercizio delle loro mansioni;

• Aggiornare periodicamente il documento che definisce le competenze dei singoli Amministratori di Sistema, comunicando loro per iscritto le eventuali modifiche apportate a tale documento;

• Mantenere una mappatura aggiornata degli Amministratori di Sistema, predisponendo la documentazione necessaria per la conformità normativa e creando profili di accesso in linea con le normative vigenti.

• Diritti degli interessati

Il Responsabile si impegna a prestare al Titolare tutta la propria assistenza affinché possa tempestivamente e regolarmente assolvere ai propri obblighi di riscontro alle richieste degli Interessati relative all’esercizio dei loro diritti di cui agli artt. 15 ss GDPR (tra cui, diritto di accesso, diritto di rettifica, di cancellazione e di opposizione, diritto alla limitazione del trattamento, diritto  alla portabilità dei dati, diritto di non essere sottoposto ad una decisione basata unicamente su trattamento automatizzato, inclusa la profilazione, ecc.).

Il Titolare e il Responsabile si impegnano a coordinarsi tra loro al fine di evadere la richiesta dell’Interessato nel più breve tempo possibile e, comunque, nel rispetto dei termini previsti dal GDPR.

Il Titolare sarà informato tempestivamente dalla Società di ciascuna richiesta ricevuta, in modo da poter dare immediato riscontro all’Interessato.

La responsabilità in ordine al soddisfacimento delle richieste degli Interessati è in capo al Titolare.

• Responsabile per la protezione dei dati

Il Responsabile in ottemperanza agli artt. 37 e ss. GDPR ha nominato un Responsabile della Protezione dei Dati (di seguito anche “DPO – Data Protection Officer”) che può essere contattato al seguente indirizzo: dpo@axera.it.

• Sub-responsabili del trattamento

Il Responsabile è autorizzato dal Titolare a richiedere ad un soggetto terzo (in seguito denominato “sub-responsabile”) di svolgere specifiche attività di trattamento dei dati personali, ai sensi dell’art.28 GDPR.

In particolare, il Cliente e la Società hanno definito il seguente elenco concordato di soggetti che possono operare quali Sub-Responsabili (oppure Sub-Responsabili di secondo livello) del trattamento:

• Società controllanti, controllate o collegate ai sensi dell’articolo 2359 del Codice civile ovvero società sottoposte a comune controllo, per le finalità amministrativo contabili ivi espressamente previste;

• Professionisti anche in forma associata (quali, a titolo di esempio non esaustivo, tecnici, consulenti, avvocati, commercialisti, notai, periti) eventualmente coinvolti nell’esecuzione dei Servizi;
• Ulteriori soggetti che svolgono attività in outsourcing, quali i fornitori di Servizi di natura informatica, inclusi l’hosting e l’archiviazione in cloud, di cui si avvale la Società per l’esecuzione dei Servizi;
• Società di assicurazioni, nonché società fornitrici di luce e gas;
• Banche e Istituti di credito, società di recupero e/o cessione di crediti;
• Spedizionieri, trasportatori, Poste, aziende per la Logistica.

L’elenco aggiornato dei sub-responsabili è a disposizione presso la Società e può essere fornito su richiesta.

Il Responsabile si impegna a vincolare per iscritto il sub-responsabile agli stessi obblighi in materia di protezione dei dati personali assunti dalla Società nei confronti del Titolare, attraverso il presente documento.

Il Responsabile deve assicurarsi che il sub-responsabile abbia le stesse idonee garanzie in merito all’attuazione di adeguate misure finalizzate ad assicurare che il trattamento avvenga con modalità conformi a quanto richiesto dalla normativa in materia di protezione dei dati personali; in caso di inadempimento da parte del sub-responsabile, sarà la Società a rispondere nei confronti del Titolare.

La comunicazione dei dati al terzo sub-responsabile potrà avvenire soltanto a condizione che vengano rispettate le disposizioni dell’art. 28, par. 4 GDPR, anche in caso di trasferimento dei dati al di fuori dell’UE e dello SEE.

Il Responsabile terrà aggiornato prontamente il Titolare di qualsivoglia modifica dell’elenco dei sub-responsabili, ed il Titolare avrà la facoltà di opporsi, salvo in caso di opposizione, la facoltà del Responsabile di recedere dal contratto senza preavviso.

• Obblighi del Titolare

Il Titolare si impegna a:

• mettere in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento. Dette misure sono riesaminate e aggiornate qualora necessario;
• documentare per iscritto tutte le istruzioni relative al trattamento dei dati forniti o che saranno fornite al Responsabile;
• assicurare, prima dell’avvio e per tutta la durata del trattamento, il rispetto da parte del Responsabile del trattamento degli obblighi previsti dal GDPR e, più in generale, dalla normativa applicabile in materia di protezione dei dati;
• vigilare sui trattamenti dei dati, comprese le ispezioni nei confronti del Responsabile;
• ai sensi degli artt. 13 e 14 GDPR il Titolare provvederà a fornire le informazioni previste per la tutela dei dati alle persone interessate dalle attività di trattamento al momento della raccolta dei dati e di mettere a disposizione degli Interessati la lista aggiornata dei Responsabili esterni al trattamento dei dati.
• Assicurarsi di disporre di una valida base giuridica, ai sensi degli artt. 6 e ss del GDPR, per procedere al trattamento nei confronti degli Interessati.
• Verificare su base annuale l’operato dell’Amministratore di sistema, in modo da controllare la rispondenza alle misure organizzative, tecniche e di sicurezza rispetto ai trattamenti dei dati personali previste dalle norme vigenti.

• Trattamento all’interno dell’UE e dello SEE

Il Responsabile si impegna a trattare i dati personali secondo quanto previsto nelle istruzioni fornite dal Titolare nel presente documento, ed in ogni caso il trattamento è autorizzato solo all’interno dell’UE e dello Spazio Economico Europeo (di seguito “SEE”).

Qualora il Responsabile fosse tenuto a trasferire dei dati personali trattati per conto del Titolare in un paese extra-UE e/o ad un’organizzazione internazionale a norma del diritto dell’Unione o della legislazione dello Stato membro cui è soggetto, dovrà previamente informare il Titolare di quest’obbligo giuridico prima del trattamento, a meno che le leggi interessate proibiscano una tale informazione per rilevanti motivi di interesse pubblico.

Qualora il Responsabile dovesse ritenere che un’istruzione costituisca una violazione del GDPR o di qualsiasi altra disposizione applicabile al trattamento in oggetto, del diritto dell’Unione o della legislazione degli Stati membri relativa alla protezione dei dati, ne informerà immediatamente il Titolare.

Qualora il Responsabile si dovesse avvalere di subfornitori situati al di fuori della UE/SEE, il trasferimento dei dati non potrà avvenire se non nei confronti di Paesi per cui esistono decisioni di adeguatezza da parte dell’UE, o da accordi specifici tra quest’ultima e il Paese ove i dati sono trasferiti o tramite la definizione di BCR (binding corporate rules) o di SCC (standard contractual clauses), ai sensi dell’art. 46 GDPR.

• Trattamento dei dati al termine del rapporto

A discrezione del Titolare al termine della prestazione di Servizi, il Responsabile può essere tenuto a cancellare tutti i dati raccolti o comunque trattati ai sensi del presente accordo, o a restituirli al Titolare, rispettando in ogni caso la normativa in materia di protezione dei dati personali.

Eventuali copie senza il consenso del Titolare non possono essere create dal Responsabile, salvo i casi in cui ciò sia previsto dalla legge e nel caso di creazione di copie di sicurezza.

La Società ha facoltà di conservare tutta la documentazione utile al fine di provare la correttezza delle attività di trattamento anche oltre la scadenza del contratto, rispettando ugualmente i termini previsti dalla legge per la relativa conservazione e può alternativamente consegnare la stessa al Titolare.

• Responsabilità

Le parti del presente accordo si danno reciprocamente atto nel vincolarsi a risarcire l’altra parte dei danni eventualmente causati dal proprio inadempimento colposo o doloso dei sopracitati obblighi, anche di quelli commessi da chiunque presti la propria opera nell’interesse o a vantaggio di ciascuna delle parti (art. 82 GDPR).

Titolo del documento: DPA

Versione del documento: V.1.1

Data di ultima modifica: 13/11/2024