Accordo sul trattamento dei dati

Nel fornire i Servizi ai sensi del Contratto, Olostep può trattare Dati del Cliente che si qualificano come "dati personali", "informazioni personali", "informazioni di identificazione personale" o concetti analoghi ai sensi della legge applicabile ("Dati personali del Cliente"). Entrambe le parti si impegnano a rispettare il presente DPA unitamente a ogni legge in materia di privacy e protezione dei dati applicabile al trattamento dei Dati personali del Cliente ai sensi del Contratto, incluse, ove pertinenti, le leggi dell'Unione europea, dello Spazio economico europeo e dei suoi Stati membri, della Svizzera, del Regno Unito e degli Stati Uniti (tra cui il California Consumer Privacy Act, il "CCPA") (congiuntamente, le "Leggi sulla protezione dei dati").

Una descrizione del Trattamento — oggetto, natura e finalità, tipologie di Dati personali del Cliente coinvolti e categorie di "Interessati" (come definiti dalle Leggi sulla protezione dei dati applicabili) — è riportata nell'Allegato I, che costituisce parte integrante del presente DPA.

Ai fini del presente DPA, il Cliente agisce in qualità di "Titolare del trattamento" o "Impresa" (come tali termini sono definiti dalla Legge sulla protezione dei dati applicabile) e incarica Olostep di agire per suo conto in qualità di "Responsabile del trattamento" o "Fornitore di servizi" (come tali termini sono definiti dalla Legge sulla protezione dei dati applicabile). Il Cliente resta responsabile dell'adempimento degli obblighi che la Legge sulla protezione dei dati impone ai Titolari del trattamento e alle Imprese. Qualora il Cliente tratti a sua volta dati per conto di un altro Titolare del trattamento (un "Titolare terzo"), il Cliente (i) funge da unico referente di Olostep, (ii) è responsabile dell'ottenimento di ogni autorizzazione necessaria da parte di tale Titolare terzo e (iii) si impegna a impartire tutte le istruzioni e a esercitare tutti i diritti previsti dal presente DPA per conto di tale Titolare terzo.

Olostep manterrà adeguate misure tecniche e organizzative volte a garantire un livello di sicurezza proporzionato ai rischi connessi al Trattamento dei Dati personali del Cliente, in linea con (a) le misure descritte nell'Allegato II e (b) SOC 2, ISO 27001, NIST 800-53 o un framework sostanzialmente equivalente, per tutta la Durata.

Qualora Olostep venga a conoscenza di un accesso non autorizzato, effettivo o ragionevolmente sospetto, ai Dati personali del Cliente o di altro Trattamento non autorizzato degli stessi (un "Incidente di sicurezza"), Olostep ne informerà il Cliente senza ingiustificato ritardo e in ogni caso entro 72 ore. Qualora la notifica richieda più tempo, Olostep indicherà i motivi del ritardo unitamente alla notifica.

Nel rispondere a un Incidente di sicurezza, Olostep adotterà misure ragionevoli per (i) contenere l'incidente e ridurre la probabilità che si ripeta, (ii) condividere con il Cliente le informazioni pertinenti sull'incidente note a Olostep e (iii) offrire ogni altro supporto commercialmente ragionevole affinché il Cliente possa adempiere ai propri obblighi ai sensi delle Leggi sulla protezione dei dati applicabili.

Olostep eseguirà scansioni delle vulnerabilità sulla piattaforma software-as-a-service che utilizza per erogare i Servizi.

Olostep applicherà la crittografia ai Dati personali del Cliente utilizzando tecniche robuste e riconosciute nel settore e protocolli di sicurezza aggiornati.

Il Cliente concede a Olostep un'autorizzazione generale a ricorrere a Responsabili del trattamento terzi che trattano i Dati personali del Cliente per conto di Olostep (ciascuno, un "Sub-responsabile del trattamento"). Gli attuali Sub-responsabili del trattamento di Olostep sono elencati nell'Allegato III.

Olostep stipulerà con ciascun Sub-responsabile del trattamento un contratto scritto che vincoli il Sub-responsabile del trattamento a obblighi di protezione dei dati sostanzialmente non meno tutelanti di quelli assunti da Olostep ai sensi del presente DPA.

Prima di apportare qualsiasi modifica programmata ai propri Sub-responsabili del trattamento, Olostep ne darà preavviso al Cliente. Il Cliente può opporsi a un nuovo Sub-responsabile del trattamento per motivi ragionevoli, in particolare qualora la nomina del Sub-responsabile del trattamento comporti una violazione sostanziale della Legge sulla protezione dei dati, inviando entro trenta (30) giorni dalla notifica di Olostep una comunicazione scritta che illustri tali motivi. Le parti collaboreranno quindi in buona fede per risolvere l'opposizione. Qualora Olostep decida comunque di procedere con il nuovo Sub-responsabile del trattamento, ne informerà il Cliente almeno trenta (30) giorni prima di consentire a tale Sub-responsabile del trattamento di trattare i Dati personali del Cliente, e ciascuna parte potrà cessare immediatamente di fornire o utilizzare le parti dei Servizi interessate e potrà recedere da tali parti dei Servizi entro trenta (30) giorni.

Per qualsiasi trasferimento di Dati personali del Cliente disciplinato dalla Legge europea sulla protezione dei dati verso una destinazione non coperta da una decisione di adeguatezza della Commissione europea (un "Trasferimento internazionale di dati"), Olostep otterrà preventivamente l'autorizzazione scritta specifica del Cliente. Con il presente atto il Cliente autorizza Olostep a effettuare Trasferimenti internazionali di dati al di fuori del SEE o della Svizzera:

Il Cliente e Olostep sottoscrivono con il presente atto il Modulo 2 (da titolare a responsabile) delle SCC e, qualora il Cliente agisca in qualità di Responsabile del trattamento per un Titolare terzo, il Modulo 3 (da responsabile a sub-responsabile), che sono incorporati mediante rinvio e completati come segue: il Cliente è l'"esportatore di dati" e Olostep è l'"importatore di dati"; si applica la clausola di adesione facoltativa di cui alla Clausola 7; si applica l'Opzione 1 della Clausola 9(a), con il periodo di preavviso specificato nella Sezione 6.3 di cui sopra; la clausola facoltativa sui mezzi di ricorso di cui alla Clausola 11(a) è soppressa; si applica l'Opzione 1 della Clausola 17 e la legge applicabile è quella irlandese; i tribunali di cui alla Clausola 18(b) sono i tribunali d'Irlanda; e gli Allegati I e II delle SCC corrispondono agli Allegati I, II e III del presente DPA. Per i Trasferimenti internazionali di dati provenienti dalla Svizzera, gli Interessati abitualmente residenti in Svizzera possono proporre azioni ai sensi delle SCC dinanzi ai tribunali svizzeri.

Il Cliente autorizza Olostep a effettuare Trasferimenti internazionali di dati al di fuori del Regno Unito, a condizione che il trasferimento avvenga:

Le parti sottoscrivono inoltre l'Addendum UK, incorporato mediante rinvio, che disciplina i Trasferimenti internazionali di dati dal Regno Unito. La Parte 1 dell'Addendum UK è completata come segue: (i) nella Tabella 1, il Cliente è l'"Esportatore" e Olostep l'"Importatore", con i rispettivi dati indicati nel presente DPA e nel Contratto; (ii) nella Tabella 2, è selezionata la prima opzione e le "SCC UE approvate" sono le SCC descritte nella Sezione 9.2; (iii) nella Tabella 3, gli Allegati 1 (A e B), II e III delle "SCC UE approvate" corrispondono agli Allegati I, II e III del presente DPA; e (iv) nella Tabella 4, sia l'"Importatore" sia l'"Esportatore" possono porre fine all'Addendum UK.

Esportatore di dati: