Accordo sul trattamento dei dati

Accordo sul trattamento dei dati

Il presente accordo sul trattamento dei dati si applica a tutte le forme di trattamento dei dati personali effettuate da WP Provider BV., di seguito denominata “WP Provider”, con sede a Bussum, iscritta alla Camera di Commercio con il numero 73142689 (di seguito: Responsabile del trattamento), per conto di una controparte alla quale fornisce servizi (di seguito: Titolare del trattamento).

Di seguito congiuntamente denominate “Parti”;

Premesso che:

1. Le Parti hanno stipulato un accordo relativo a servizi di hosting e registrazioni di nomi di dominio, di seguito denominato: “Accordo”. Ai fini dell’esecuzione dell’Accordo, il Responsabile del trattamento tratta Dati personali per conto del Titolare del trattamento;
   Le Parti intendono trattare con cura e in conformità al GDPR e alle altre leggi e normative applicabili in materia di Trattamento dei Dati personali i Dati personali che vengono o verranno trattati ai fini dell’esecuzione dell’Accordo;
   C. Le Parti intendono definire per iscritto nel presente Accordo sul trattamento dei dati, in conformità al GDPR e alle altre leggi e normative applicabili in materia di Trattamento dei Dati personali, i propri diritti e obblighi relativi al Trattamento dei Dati personali degli Interessati.
   D. Soltanto il Titolare del trattamento determina le finalità e i mezzi del trattamento dei dati personali e il Responsabile del trattamento non esercita alcuna influenza al riguardo;

Convengono quanto segue:

1. Definizioni

1.1 Interessato: la persona cui si riferisce un Dato personale.
1.2 Violazione dei dati: una violazione della sicurezza dei Dati personali che comporta gravi conseguenze negative per la protezione dei Dati personali.
1.3 Personale: le persone incaricate dalle Parti dell’esecuzione del presente Accordo sul trattamento dei dati, che opereranno sotto la loro responsabilità.
1.4 Dato personale: qualsiasi informazione riguardante una persona fisica identificata o identificabile. Rientrano in questa definizione anche i dati personali pseudonimizzati (riconducibili a una persona).
1.5 Sub-responsabile: terzo incaricato dal Responsabile del trattamento di trattare Dati personali per suo conto, senza essere soggetto alla sua autorità diretta.
1.6 Titolare del trattamento: il soggetto responsabile del Trattamento ai sensi della Legge sulla protezione dei dati personali (WBP) e/o dei regolamenti e delle direttive europee in materia di protezione dei dati personali (GDPR).
1.7 Responsabile del trattamento: il soggetto che tratta Dati personali per conto del Titolare del trattamento senza essere soggetto alla sua autorità diretta.
1.8 Trattamento: qualsiasi operazione o insieme di operazioni effettuate sui Dati personali, tra cui in ogni caso la raccolta, la registrazione, l’organizzazione, la conservazione, l’aggiornamento, la modifica, l’estrazione, la consultazione, l’utilizzo, la comunicazione mediante trasmissione, la diffusione o qualsiasi altra forma di messa a disposizione, il raffronto, l’interconnessione, nonché la limitazione, la cancellazione o la distruzione dei dati.

2. Oggetto

2.1 Qualora il Responsabile del trattamento abbia soltanto accesso ai Dati personali, senza l’obbligo di trattarli, rispetterà sia la legislazione nazionale e internazionale in materia di dati personali sia le disposizioni del presente Accordo sul trattamento dei dati, purché e nella misura in cui il Titolare del trattamento lo abbia preventivamente e tempestivamente informato della presenza dei Dati personali e del luogo (path) in cui tali Dati personali si trovano.
2.2 Qualora il Responsabile del trattamento si sia impegnato nell’Accordo a trattare Dati personali, lo farà con la massima cura e in conformità alle finalità del trattamento, rispettando sia la legislazione nazionale e internazionale in materia di dati personali sia le disposizioni del presente Accordo sul trattamento dei dati, purché e nella misura in cui il Titolare del trattamento lo abbia preventivamente e tempestivamente informato della presenza dei Dati personali e del luogo in cui tali Dati personali si trovano.

3. Obblighi del Titolare del trattamento

3.1 Il Titolare del trattamento comunicherà tempestivamente al Responsabile del trattamento, in linea di principio entro 10 giorni lavorativi, eventuali modifiche relative al Trattamento (se applicabile) e le possibili conseguenze.
3.2 Il Titolare del trattamento garantisce che l’incarico relativo al Trattamento dei Dati personali (se applicabile) non sia illecito e non violi diritti di terzi.

4. Obblighi del Responsabile del trattamento

4.1 Il Responsabile del trattamento consulterà e/o tratterà i Dati personali soltanto se e nella misura necessaria all’esecuzione dell’Accordo e seguirà tutte le ragionevoli istruzioni del Titolare del trattamento.
4.2 Il Responsabile del trattamento non conserverà i Dati personali in un luogo situato al di fuori dello Spazio economico europeo. Per le registrazioni di domini può essere necessario trasmettere dati personali a Paesi al di fuori dello Spazio economico europeo. Tale trasmissione sarà limitata a quanto richiesto dal relativo registry.
4.3 Il Responsabile del trattamento garantisce che il proprio Personale rispetti quanto stabilito nel presente Accordo sul trattamento dei dati, se e nella misura in cui sia coinvolto in qualsiasi modo nel Trattamento dei Dati personali. I dipendenti del Responsabile del trattamento sono vincolati da un obbligo di riservatezza.
4.4 Il Responsabile del trattamento ha designato un responsabile della protezione dei dati.
4.5 Su prima richiesta del Titolare del trattamento, il Responsabile del trattamento consegnerà immediatamente al Titolare del trattamento tutte le copie dei Dati personali provenienti dal Titolare del trattamento e/o trattati su suo incarico oppure, se richiesto, le distruggerà.
4.6 Il Responsabile del trattamento adotterà misure tecniche e organizzative adeguate per proteggere i Dati personali dalla perdita e dal trattamento illecito. Tenendo conto dello stato dell’arte e dei costi di attuazione, tali misure garantiscono un livello di sicurezza adeguato ai rischi presentati dal trattamento e alla natura dei dati da proteggere.
4.7 Il Responsabile del trattamento tiene un registro di tutte le categorie di attività di trattamento svolte per conto del Titolare del trattamento.
4.8 Il Responsabile del trattamento fornisce al Titolare del trattamento la propria piena e tempestiva collaborazione per consentire agli Interessati di accedere ai propri dati personali, farli cancellare o rettificare e/o dimostrare che tali dati personali sono stati cancellati o rettificati oppure, qualora il Titolare del trattamento contesti la posizione dell’Interessato, registrare che l’Interessato considera inesatti i propri dati personali.
4.9 Il Responsabile del trattamento adotta adeguate misure di controllo interno per adempiere agli obblighi derivanti dal presente accordo e le documenta in modo da consentire un facile controllo della loro osservanza. Durante il Trattamento dei Dati personali, le attività e gli incidenti relativi ai Dati personali vengono registrati in file di log.
4.10 Su indicazione del Titolare del trattamento, il Responsabile del trattamento collabora alla cifratura e alla pseudonimizzazione dei Dati personali. Qualora ciò comporti costi maggiori per il Responsabile del trattamento, tali costi saranno rimborsati dal Titolare del trattamento.
4.11 Una volta all’anno il Titolare del trattamento può far verificare la corretta osservanza dell’Accordo sul trattamento dei dati nel Trattamento dei Dati personali mediante un’indagine svolta da un EDP-Auditor indipendente iscritto all’albo. L’Auditor sarà vincolato alla riservatezza. Il Responsabile del trattamento fornirà tutte le informazioni richieste dall’Auditor. L’Auditor riferirà al Titolare del trattamento in termini generali, senza divulgare dettagli sulle misure di sicurezza adottate. I costi dell’indagine sono a carico del Titolare del trattamento.
4.12 Il contenuto e l’ambito dell’incarico di Trattamento e il relativo compenso sono conformi a quanto stabilito nell’Accordo. Il Responsabile del trattamento seguirà le istruzioni del Titolare del trattamento relative al trattamento e/o alla conservazione dei Dati personali.

5. Sub-responsabile

5.1 Il Responsabile del trattamento può affidare in tutto o in parte l’esecuzione dell’Accordo sul trattamento dei dati a un Sub-responsabile. Il Responsabile del trattamento rimane in ogni momento il referente del Titolare del trattamento e responsabile del rispetto delle disposizioni del presente Accordo sul trattamento dei dati.
5.2 Il Responsabile del trattamento imporrà al Sub-responsabile gli stessi obblighi derivanti per esso dal presente Accordo sul trattamento dei dati, formalizzandoli per iscritto in un contratto, e ne controllerà il rispetto da parte del Sub-responsabile. Il Responsabile del trattamento è pienamente responsabile nei confronti del Titolare del trattamento delle conseguenze dell’affidamento di attività a un Sub-responsabile.
5.3 Costituisce un’eccezione agli articoli 5.1 e 5.2 l’esternalizzazione delle registrazioni di nomi di dominio. A seconda del dominio di primo livello, i tuoi dati personali possono essere resi pubblici e/o il responsabile del trattamento potrebbe non poter garantire la sicurezza dei tuoi dati personali.

6. Comunicazione dei Dati personali

6.1 Al Responsabile del trattamento non è consentito comunicare Dati personali a soggetti diversi dal Titolare del trattamento, salvo in forza di un obbligo di legge o ai fini dell’accordo con il Titolare del trattamento.
6.2 Qualora debba comunicare Dati personali in forza di un obbligo di legge, il Responsabile del trattamento:

• verificherà il fondamento della richiesta e l’identità del richiedente e, prima della comunicazione, ne informerà il Titolare del trattamento;
• limiterà la comunicazione a quanto previsto dalla legge;
• consentirà al Titolare del trattamento di esercitare i diritti propri e degli Interessati e di difenderne gli interessi;
• in caso di consegna a un Interessato, fornirà i dati in un formato strutturato, di uso comune e leggibile da dispositivo automatico.

7. Sicurezza

7.1 Il Titolare del trattamento e il Responsabile del trattamento adottano misure tecniche e organizzative adeguate per garantire un livello di sicurezza commisurato al rischio, affinché il Trattamento soddisfi i requisiti del GDPR e delle altre leggi e normative applicabili in materia di Trattamento dei Dati personali e sia garantita la tutela dei diritti degli Interessati. Le misure di sicurezza adottate dal Responsabile del trattamento sono riportate nell’Allegato A.
7.2 Il Titolare del trattamento e il Responsabile del trattamento compiranno ogni ragionevole sforzo per proteggere e mantenere protetti i Dati personali da intrusi e minacce esterne, nonché da trattamenti negligenti, comunicazioni illecite o non autorizzate e da perdita, distruzione o danneggiamento. Entrambe le Parti garantiscono che le proprie infrastrutture e apparecchiature IT siano fisicamente protette contro l’accesso non autorizzato, i danni e i malfunzionamenti e adottano misure per impedire l’accesso non autorizzato ai sistemi informativi.
7.3 Il Titolare del trattamento e il Responsabile del trattamento controlleranno costantemente che i sistemi di trattamento utilizzati soddisfino e continuino a soddisfare requisiti adeguati di riservatezza, integrità, disponibilità e resilienza (rapido ripristino dopo un’indisponibilità temporanea).
7.4 Qualora il Titolare del trattamento lo richieda per iscritto, il Responsabile del trattamento adotterà misure speciali per la sicurezza e/o la riservatezza dei Dati personali (o delle relative categorie) indicati. Qualora ciò comporti costi maggiori per il Responsabile del trattamento, tali costi saranno rimborsati dal Titolare del trattamento.

8. Violazione dei dati

8.1 Qualora si verifichi una Violazione dei dati presso il Responsabile del trattamento, quest’ultimo la segnalerà immediatamente e comunque entro 24 ore al Titolare del trattamento, indicando la natura della Violazione dei dati, le relative conseguenze (presunte) e le misure adottate per porvi rimedio o limitarle.

9. Riservatezza

9.1 Tutti i dati del Titolare del trattamento e dei suoi clienti sono riservati e saranno trattati come tali dal Responsabile del trattamento. Il Responsabile del trattamento è tenuto alla riservatezza su tutti i Dati personali e le informazioni che tratta o di cui venga a conoscenza nell’ambito dell’Accordo o del presente Accordo sul trattamento dei dati.
9.2 La riservatezza non si applica alle informazioni:

• che sono di pubblico dominio senza che tale divulgazione sia conseguenza di un atto non autorizzato;
• la cui divulgazione è richiesta ai sensi di una disposizione di legge o di un ordine giudiziario, a condizione che la Parte divulgante ne dia preventiva comunicazione scritta alla Parte cui le informazioni si riferiscono;
• sviluppate autonomamente da una Parte;
• già in possesso di una Parte senza obbligo di riservatezza.
• Dopo la cessazione del presente Accordo sul trattamento dei dati, il presente articolo e l’obbligo di riservatezza ivi stabilito rimarranno in vigore.

10. Proprietà intellettuale

10.1 Tutti i Diritti di Proprietà Intellettuale, inclusi i diritti d’autore, i diritti sulle banche dati e tutti gli altri diritti di proprietà intellettuale, nonché diritti analoghi di protezione delle informazioni sulla raccolta di dati e Dati personali, sulle relative copie o elaborazioni, appartengono al Titolare del trattamento (o a un cliente del Titolare del trattamento).
10.2 Tutti i diritti di proprietà intellettuale, inclusi i diritti d’autore, i diritti sulle banche dati e tutti gli altri diritti di proprietà intellettuale, nonché diritti analoghi di protezione delle informazioni, relativi ai prodotti e ai servizi del Responsabile del trattamento appartengono al Responsabile del trattamento.

11. Responsabilità e assicurazione

11.1 Il Responsabile del trattamento è responsabile dei danni subiti e delle sanzioni incorse dal Titolare del trattamento a seguito dell’inadempimento o della violazione, da parte del Responsabile del trattamento, delle disposizioni previste dalla o in forza della Legge sulla protezione dei dati personali e/o dei regolamenti e delle direttive europee in materia di protezione dei dati personali e/o di altre leggi e normative pertinenti e/o del presente Accordo sul trattamento dei dati.
11.2 La responsabilità del Responsabile del trattamento per i danni subiti e/o le sanzioni incorse dal Titolare del trattamento, come previsto all’articolo 11.1, è limitata a € 50,- per evento. Tale limitazione di responsabilità decade se e nella misura in cui il danno sia conseguenza di dolo o colpa grave (imprudenza consapevole) del Responsabile del trattamento.
11.3 Il Titolare del trattamento manleva il Responsabile del trattamento da pretese di terzi (in particolare degli Interessati) e dagli eventuali danni conseguenti, basati sull’inosservanza delle disposizioni previste dalla o in forza della Legge sulla protezione dei dati personali e/o dei regolamenti e delle direttive europee in materia di protezione dei dati personali e/o di altre leggi e normative pertinenti e/o del presente Accordo sul trattamento dei dati.
11.4 Il Responsabile del trattamento si impegna a coprire i rischi di cui agli articoli 11.1 fino a 11.2 mediante un’assicurazione di responsabilità civile.

12. Durata e cessazione

12.1 L’Accordo sul trattamento dei dati entra in vigore il giorno della firma da parte delle Parti.
12.2 Le disposizioni dell’Accordo relative alla durata e alla cessazione si applicano alla durata e alla cessazione dell’Accordo sul trattamento dei dati. Quando l’Accordo termina per qualsiasi motivo, termina anche l’Accordo sul trattamento dei dati.
12.3 In caso di cessazione dell’Accordo sul trattamento dei dati, il Responsabile del trattamento trasferirà tutti i Dati personali al Titolare del trattamento oppure, su espressa richiesta scritta del Titolare del trattamento, distruggerà i Dati personali in proprio possesso.
12.4 Gli obblighi che per loro natura sono destinati a perdurare dopo la cessazione dell’Accordo sul trattamento dei dati rimangono in vigore dopo la cessazione. Tali obblighi comprendono, tra l’altro, le disposizioni relative a riservatezza, trasferimento e distruzione, responsabilità e legge applicabile.

13. Risoluzione

13.1 Ciascuna Parte può risolvere in tutto o in parte l’Accordo qualora la controparte sia responsabile di un inadempimento dell’Accordo sul trattamento dei dati e non vi abbia posto rimedio neppure dopo la messa in mora, fatto salvo il diritto al risarcimento dei danni.
13.2 Ciascuna Parte può risolvere in tutto o in parte l’Accordo con effetto immediato e senza messa in mora qualora alla controparte venga concessa una sospensione dei pagamenti, venga presentata istanza di fallimento nei suoi confronti oppure la sua impresa venga liquidata o cessi l’attività per ragioni diverse dalla ristrutturazione o dalla fusione di imprese.

14. Disposizioni varie

14.1 Le modifiche o integrazioni del presente Accordo saranno convenute per iscritto tra il Responsabile del trattamento e il Titolare del trattamento. Le modifiche o integrazioni saranno registrate in un addendum al presente accordo e saranno vincolanti se tale addendum sarà firmato da entrambe le Parti.
14.2 Le eventuali controversie derivanti dal presente accordo, qualora un tentativo di risolverle di comune accordo si sia rivelato infruttuoso, saranno definite mediante arbitrato secondo le regole e le procedure dell’Istituto Arbitrale dei Paesi Bassi, con applicazione del diritto olandese da parte dell’arbitro o degli arbitri.

Allegato A – Misure di sicurezza

Misure minime rispettate dal Responsabile del trattamento:

1. Il Responsabile del trattamento adotta un documento programmatico che descrive espressamente le misure adottate per proteggere il trattamento dei dati e garantire la privacy.
2. I dipendenti del Responsabile del trattamento coinvolti nel trattamento dei dati personali sono vincolati da un obbligo di riservatezza/codice di integrità e, se applicabile, sono stati sottoposti a verifica prima dell’assunzione.
3. Tutti i dipendenti dell’organizzazione e, ove applicabile, il personale esterno e gli utenti esterni ricevono una formazione adeguata e aggiornamenti periodici sulla politica e sulle procedure di sicurezza delle informazioni dell’organizzazione, nella misura pertinente alle loro funzioni. La formazione e gli aggiornamenti dedicano espressa attenzione alla gestione dei dati personali.
4. Le infrastrutture e le apparecchiature IT sono fisicamente protette contro l’accesso non autorizzato, i danni e i malfunzionamenti.
5. Sono previste procedure per concedere agli utenti autorizzati l’accesso ai sistemi e ai servizi informativi necessari allo svolgimento dei loro compiti e per impedire l’accesso non autorizzato ai sistemi informativi.
6. Durante il trasporto attraverso reti di informazioni espressamente indicate come riservate dal Titolare del trattamento deve essere sempre applicata una cifratura adeguata.
7. Alla gestione dei certificati e delle relative chiavi si applica un piano delle chiavi aggiornato, che garantisce le autorizzazioni e la separazione delle funzioni.
8. Sono previste procedure per l’acquisizione, lo sviluppo, la manutenzione e la distruzione dei dati e dei sistemi informativi.
9. Le attività svolte dagli utenti (con dati personali) vengono registrate in file di log. Lo stesso vale per altri eventi rilevanti, come tentativi di accesso non autorizzato ai dati personali e interruzioni che potrebbero comportare alterazione o perdita dei dati personali. La registrazione di dati specifici è possibile mediante una soluzione personalizzata su preventivo.
10. Tutti i sistemi applicativi integrano misure di sicurezza, tra cui un adeguato controllo degli accessi.
11. La rete e i sistemi informativi sono monitorati e gestiti attivamente. È inoltre disponibile una procedura per la gestione di eventuali violazioni dei dati, che include l’informazione del Titolare del trattamento.
12. Il Responsabile del trattamento installa tempestivamente le soluzioni pubblicate dai fornitori per le vulnerabilità di sicurezza. Ciò vale esclusivamente se e nella misura in cui il relativo software sia o venga fornito, utilizzato o sottoposto a manutenzione dal Responsabile del trattamento per conto del Titolare del trattamento.
13. Sono previste procedure per gestire tempestivamente ed efficacemente gli incidenti di sicurezza delle informazioni e le vulnerabilità della sicurezza non appena vengono segnalati.
14. Il Titolare del trattamento segnala le violazioni dei dati soggette a obbligo legale di notifica all’autorità di controllo competente (generalmente l’Autorità olandese per la protezione dei dati).