DATENSCHUTZVERTRAG VON CORSEARCH

Il presente Accordo sulla protezione dei dati ("APD") costituisce parte integrante del Contratto quadro di prestazione di servizi di Corsearch o di qualsiasi altro accordo scritto stipulato tra Corsearch e il cliente (il "Contratto").

Nella misura in cui Corsearch tratta i dati personali del cliente nell'ambito dei propri servizi, si applica la presente Informativa sulla privacy. La presente Informativa sulla privacy non si applica ai servizi relativi ai marchi; nell'ambito di tali servizi, Corsearch non tratta dati personali per conto del cliente. Nell'ambito dei servizi relativi ai marchi, Corsearch agisce in qualità di titolare del trattamento indipendente.

1. Definizioni

Le parole riportate di seguito, se scritte in corsivo, hanno il significato indicato di seguito. Tutti i termini scritti in corsivo che non sono definiti nel presente documento hanno il significato stabilito nel contratto.

Per «dati personali del cliente»si intendono tutti i dati personali, come descritti nell'Allegato A, trattati da o per conto di Corsearch per conto del cliente nell'ambito o in relazione al contratto, compresa la prestazione dei servizi, ad eccezione, tuttavia, dei dati personali degli utenti
.

Per«violazione della protezione dei dati»si intende qualsiasi violazione della sicurezza presso Corsearch o un subappaltatore in relazione ai dati personali del cliente che comporti la divulgazione accidentale o
e, la distruzione illecita, la perdita, alla modifica, alla divulgazione non autorizzata o all’accesso ai dati personali del cliente, di cui Corsearch venga a conoscenza durante il periodo di validità del contratto, a condizione che tale violazione della sicurezza non sia stata causata dal cliente o da un utente.

Per «normativa sulla protezione dei dati»si intendono tutte le leggi e i regolamenti applicabili in materia di protezione dei dati che disciplinano il trattamento dei dati personali del Cliente nell'ambito del Contratto, inclusi, a titolo esemplificativo ma non esaustivo, il Regolamento generale sulla protezione dei dati dell'UE 2016/679 («GDPR»), il GDPR nella versione adottata dal Regno Unito («GDPR del Regno Unito»), il California Consumer Privacy Act del 2018 ("CCPA"), inclusa la versione modificata dal California Privacy Rights Act del 2020 e dai relativi regolamenti di attuazione ("CPRA") e la Legge sulla protezione delle informazioni personali della Repubblica Popolare Cinese ("PIPL") nella versione attualmente in vigore e nella versione aggiornata, modificata o sostituita di volta in volta.

Per«richiesta dell'interessato»si intende una richiesta valida presentata dall'interessato o per suo conto in relazione ai dati personali del cliente, al fine di esercitare i propri diritti ai sensi delle leggi sulla protezione dei dati.

Per «trasferimento internazionale»si intende il trasferimento dei dati personali del cliente tra le parti dal Spazio economico europeo («SEE»), dal Regno Unito di Gran Bretagna e Irlanda del Nord («UK») e/o dalla Svizzera verso un paese terzo che, ai sensi delle leggi sulla protezione dei dati, non garantisce un livello adeguato di protezione dei dati personali del cliente.

Per«clausole contrattuali standard (Standard Contractual Clauses, SCC)» si intendono, in caso di applicabilità del GDPR, le clausole contrattuali riportate nell’allegato alla decisione di esecuzione (UE) 2021/914 della Commissione europea del 4 giugno 2021, nella versione modificata o sostituita adottata dalla Commissione europea, modificata o sostituita dalla Commissioneeuropea («SCC UE») e, in caso di applicabilità del GDPR del Regno Unito, l’appendice del Regno Unito alle clausole contrattuali standard della Commissione europea per il trasferimento internazionale dei dati nella versione adottata, modificata o aggiornata dall’Information Commissioner’s Office, dal Parlamento o dal Segretario di Stato del Regno Unito («SCC del Regno Unito»).

Per«dati personali sensibili»si intendono i dati personali relativi a minori o le informazioni che rivelano l'origine etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza a un sindacato, i dati genetici, i dati biometrici che consentono l'identificazione univoca, i dati relativi alla salute o i dati riguardanti la vita sessuale o l'orientamento sessuale di una persona

Per«subresponsabile del trattamento» si intende qualsiasi soggetto terzo incaricato da Corsearch di svolgere determinate operazioni di trattamento relative ai dati personali del cliente.

Per«dati personali degli utenti»si intendono i dati personali degli utenti che Corsearch tratta per i propri scopi, tra cui: (i) fornitura e protezione dei servizi, (ii) concessione dell'accesso ai dati personali del cliente al cliente stesso e ai suoi utenti, (iii) trattamento delle informazioni relative all'account e alla fatturazione e (iv) comunicazione con il cliente al fine di adempiere agli obblighi derivanti dal contratto.

“Titolare del trattamento”, “interessato”, “organizzazione internazionale”, “trattamento” (e tutte le forme derivate), “responsabile del trattamento”, «paese terzo», «impresa», «consumatore», «dati personali», «vendere», «trasmettere», «fornitore di servizi» e «autorità di controllo» hanno ciascuno il significato stabilito dalle leggi sulla protezione dei dati.

2. Condizioni generali

2.1. Funzioni. Per quanto riguarda il trattamento dei dati personali del Cliente da parte di ciascuna delle Parti, le Parti concordano che il Cliente agisca in qualità di titolare del trattamento e Corsearch in qualità di responsabile del trattamento. Le Parti riconoscono e concordano che Corsearch sia un titolare del trattamento indipendente per quanto riguarda i dati personali degli utenti.

2.2 Conformità alle leggi. Nel corso del trattamento dei dati personali del Cliente, ciascuna parte rispetterà le leggi sulla protezione dei dati applicabili a tali dati personali del Cliente, fintantoché essi siano sotto la propria responsabilità.

2.3 Obblighi del Cliente. Per tutta la durata del trattamento dei dati personali del Cliente:

- il Cliente è responsabile della definizione delle finalità e delle modalità del trattamento dei dati personali da lui effettuato,
- il Cliente garantisce che le sue istruzioni a Corsearch in merito al trattamento dei dati personali siano e rimangano legittime,
- il Cliente è autorizzato a trasmettere a Corsearch i dati personali degli utenti, e
- il Cliente non trasmette a Corsearch dati personali sensibili

3. Dettagli del trattamento

3.1 Nell'Allegato A sono elencati le finalità e la durata del trattamento, i tipi di dati personali e le categorie di interessati, nonché la modalità del trattamento. Qualora in qualsiasi momento durante la durata del presente accordo fosse necessario un aggiornamento dell'Allegato A, le parti collaboreranno in modo costruttivo per concordare congiuntamente un Allegato A aggiornato in forma scritta.

3.2 Corsearch tratta i dati personali del cliente:

- solo nella misura necessaria all'adempimento degli obblighi di Corsearch previsti dal contratto, e
- in conformità con le istruzioni del cliente documentate in modo conforme alla legge, a meno che Corsearch non sia tenuta a procedere diversamente per ottemperare alle leggi sulla protezione dei dati. In tal caso
Corsearch informerà il cliente di tale obbligo legale, a meno che ciò non sia vietato per legge.

3.3 Corsearch informerà immediatamente il cliente qualora, a suo ragionevole giudizio, una sua istruzione relativa al trattamento dei dati personali del cliente violi la normativa in materia di protezione dei dati. In tal caso, Corsearch non violerà il contratto e non sarà in alcun modo responsabile per la mancata esecuzione di tale trattamento.

4. Sicurezza dei dati e violazioni della protezione dei dati

4.1 Corsearch garantisce che tutte le persone autorizzate da Corsearch al trattamento dei dati personali del cliente nell'ambito della prestazione dei servizi:

- si siano impegnati a garantire la riservatezza o siano comunque soggetti a un corrispondente obbligo legale di riservatezza,
- dispongano, nell'ambito degli sforzi economicamente ragionevoli da parte di Corsearch, di competenze e formazione adeguate per il trattamento dei dati personali del cliente e
- rispettino le leggi sulla protezione dei dati.

4.2 Corsearch adotta e mantiene, tenendo conto dello stato dell'arte, dei costi di implementazione e della natura, dell'ambito, del contesto e delle finalità del trattamento, misure tecniche e organizzative adeguate per proteggere i dati personali del cliente da violazioni della sicurezza, come descritto più dettagliatamente nel presente documento. Corsearch verifica e aggiorna tali misure tecniche e organizzative quando necessario, assicurando che tali aggiornamenti non riducano in modo significativo il livello complessivo di sicurezza dei dati personali del cliente.

4.3 In caso di violazione della protezione dei dati:

4.3.1. Corsearch informa il cliente immediatamente (e in ogni caso entro 72 ore) dal momento in cui viene a conoscenza della violazione dei dati,
4.3.2. Corsearch fornisce tutte le informazioni ragionevolmente necessarie, qualora queste non siano disponibili nella loro totalità, senza indebiti ritardi e in più fasi, incluse almeno:

- la natura della violazione della protezione dei dati, comprese, per quanto possibile, le categorie e il numero approssimativo di persone interessate e di record di dati personali interessati;
- il nome e i recapiti del referente per ulteriori informazioni;
- le probabili conseguenze della violazione della protezione dei dati;
- Corsearch descrive le misure adottate per porre rimedio alla violazione della protezione dei dati, incluse, se del caso, le misure volte ad attenuare eventuali effetti negativi;;

4.3.3. Corsearch fornirà tutta la collaborazione e l'assistenza ragionevolmente richieste dal cliente al fine di adempiere agli obblighi di Corsearch ai sensi delle leggi sulla protezione dei dati,
4.3.4. Corsearch adotterà le misure necessarie e ragionevoli per risolvere la causa della violazione della protezione dei dati e per mitigarne gli effetti, e
4.3.5. Corsearch non informerà terzi (comprese le autorità di controllo o le persone interessate
) in merito alla violazione della protezione dei dati, salvo nella misura prescritta dalle leggi vigenti in materia di protezione dei dati.

4.4 Il cliente si impegna a coordinarsi in modo costruttivo con Corsearch in merito al contenuto di eventuali dichiarazioni pubbliche e/o comunicazioni necessarie agli interessati e/o alle autorità di controllo competenti, qualora queste si riferiscano specificatamente a Corsearch, ai suoi dipendenti, ai suoi subappaltatori e/o ai suoi servizi in relazione a una violazione della protezione dei dati.

5. Richieste di un interessato

5.1 Qualora Corsearch riceva direttamente una richiesta da parte di un interessato, Corsearch si adopererà, nella misura in cui sia ragionevolmente in grado di riconoscere che il cliente è il titolare del trattamento dei dati personali dell'interessato, per compiere ogni sforzo economicamente ragionevole al fine di inoltrare immediatamente la richiesta dell'interessato al cliente, senza darvi risposta.

5.2 Tenendo conto della natura del trattamento, Corsearch collabora e assiste il cliente in modo adeguato affinché questi possa rispondere alla richiesta di un interessato e adempiere ai propri obblighi ai sensi delle leggi vigenti in materia di protezione dei dati. Nella misura consentita dalla legge, il Cliente è responsabile di tutti i costi e le spese ragionevoli sostenuti a seguito dell’assistenza fornita da Corsearch.

5.3 Salvo diversamente concordato espressamente per iscritto, Corsearch non è tenuta e non può in alcun caso essere obbligata a rispondere a una richiesta di un interessato.

6. Richieste da parte di autorità governative o di regolamentazione

6.1 Qualora Corsearch riceva una richiesta da parte di un'autorità governativa o di regolamentazione, inclusa, a titolo esemplificativo ma non esaustivo, una richiesta da parte di un'autorità di vigilanza o una richiesta di accesso ufficiale vincolante per legge, relativa ai dati personali del Cliente e/o al trattamento dei dati personali del Cliente da parte di Corsearch nell'ambito della presente DSV, Corsearch ne darà immediata comunicazione al Cliente, senza rispondere alla richiesta in questione, e inoltrerà la richiesta al Cliente, a meno che ciò non sia vietato dalla legge.

6.2 Qualora a Corsearch sia vietato per legge inviare una comunicazione al cliente o inoltrare la richiesta al cliente, (i) Corsearch respingerà la richiesta in questione, a meno che non sussista un obbligo legale di darvi seguito, oppure (ii) Corsearch contesterà la validità di tale richiesta, qualora Corsearch abbia motivo di ritenere che la richiesta sia giuridicamente infondata.

6.3 Qualora Corsearch sia costretta a soddisfare tale richiesta, Corsearch compirà ogni sforzo economicamente ragionevole per ottenere un'autorizzazione speciale a informare il cliente e, in caso contrario, per garantire che le informazioni divulgate siano proporzionate e limitate al minimo strettamente necessario per soddisfare la richiesta.

6.4 Il cliente è responsabile di tutti i costi sostenuti da Corsearch, incluse le spese legali ragionevoli di Corsearch effettivamente sostenute nell'adempiere a tale richiesta, e/o di tutti i costi e le spese ragionevoli sostenuti da Corsearch per l'assistenza fornita al cliente.

7. Valutazioni d'impatto sulla protezione dei dati e consultazioni preventive

Tenendo conto della natura del trattamento e delle informazioni a disposizione di Corsearch, quest’ultima assiste il cliente in modo adeguato nell’adempimento dei suoi obblighi relativi ai dati personali del cliente, nell’effettuazione di valutazioni d’impatto sulla protezione dei dati e/o nel consultarsi con le autorità di controllo in conformità alle leggi sulla protezione dei dati

8. Subcommittente

8.1 Il Cliente concede con la presente a Corsearch un'autorizzazione generale scritta a ricorrere a sub-responsabili del trattamento, direttamente o tramite una società collegata a Corsearch, che Corsearch ritenga necessari per la prestazione dei servizi, inclusi tutti i sub-responsabili del trattamento a cui Corsearch ha già fatto ricorso alla data di entrata in vigore del presente documento. Gli attuali sub-responsabili del trattamento di Corsearch sono elencati qui.

8.2 Corsearch impone a tutti i sub-responsabili del trattamento obblighi in materia di protezione dei dati che non offrono una protezione inferiore a quella prevista nel presente DSV.

8.3 Corsearch rimane responsabile nei confronti del Cliente per l'adempimento degli obblighi di ciascun sub-responsabile del trattamento.

8.4 Corsearch informa il Cliente per iscritto con almeno 30 giorni di anticipo in merito a tutte le modifiche previste relative all’aggiunta o alla sostituzione di sub-responsabili del trattamento. Corsearch mette a disposizione del Cliente, tramite il link sopra indicato, un meccanismo con cui questi può registrarsi per ricevere notifiche relative agli aggiornamenti dell’elenco dei sub-responsabili del trattamento.

8.5 Il Cliente può opporsi alla nomina di un sub-responsabile del trattamento qualora tale sub-responsabile abbia oggettivamente causato o possa verosimilmente causare un rischio per la sicurezza e il trattamento sicuro dei dati personali del Cliente o per la capacità del Cliente di rispettare le leggi sulla protezione dei dati. A parte ciò, il Cliente non solleverà obiezioni irragionevoli alla nomina di nuovi sub-responsabili del trattamento e, qualora il Cliente non sollevi obiezioni scritte alla nomina di un nuovo sub-responsabile del trattamento ai sensi della presente disposizione, si presumerà il suo consenso a tale nomina.

8.6 Se il Cliente, entro dieci (10) giorni dal ricevimento della comunicazione, il Cliente sollevi per iscritto presso Corsearch obiezioni motivate alla nomina di tale nuovo sub-responsabile del trattamento, le parti collaboreranno in modo costruttivo per trovare una soluzione consensuale a tali obiezioni, inclusa, ove possibile, la continuazione della prestazione dei servizi da parte di Corsearch senza il coinvolgimento del nuovo sub-responsabile del trattamento in questione. Se le parti non trovano una soluzione consensuale e Corsearch non è ragionevolmente in grado di continuare a fornire i servizi senza il coinvolgimento di tale nuovo sub-responsabile del trattamento, ciascuna parte ha il diritto di risolvere immediatamente la parte corrispondente dei servizi che il nuovo sub-responsabile del trattamento dovrebbe assumere (e, se ciò non è possibile, il contratto nel suo complesso), mediante comunicazione scritta all'altra parte. Nessuna disposizione del presente paragrafo esonera il cliente dall'obbligo di pagare i compensi per i servizi forniti da Corsearch per conto del cliente fino al momento della risoluzione del contratto.

9. Trasferimenti internazionali

9.1 Corsearch può, nella misura in cui ciò sia necessario per la prestazione dei servizi, trasmettere i dati personali del cliente a società affiliate e/o sub-responsabili del trattamento al di fuori del SEE, a condizione che tale trasmissione (e ogni successivo trattamento) avvenga in conformità con le leggi sulla protezione dei dati.

9.2 Qualora i dati personali del cliente vengano trasferiti in un paese terzo e tale trasferimento costituisca, ai sensi delle leggi sulla protezione dei dati, un trasferimento internazionale, Corsearch concorda con il cliente e con ciascuna delle società affiliate e dei subappaltatori, se del caso, le relative clausole contrattuali standard (Standard Contractual Clauses, SCC). Le SCC stipulate, come qui elencate, costituiscono parte integrante del presente DSV e si applicano attraverso il presente DSV o l'utilizzo dei servizi. Nel caso in cui le SCC su cui le parti fanno affidamento vengano aggiornate o diventino altrimenti invalide, le parti concordano che le SCC nuove o aggiornate, prescritte dalle leggi sulla protezione dei dati, si applichino tra le parti senza che sia necessario modificare la presente DSV. Corsearch si riserva il diritto di apportare tali modifiche, alle quali le parti sono tenute per legge, al link sopra indicato.

9.3 In caso di conflitto tra il presente DSV e le SCC applicabili, prevalgono le disposizioni delle SCC applicabili.

10. Conservazione e cancellazione dei dati

Alla scadenza o alla risoluzione del contratto, indipendentemente dal motivo, Corsearch provvederà immediatamente a cancellare le copie esistenti dei dati personali del cliente (oppure, a scelta del Cliente, restituirà tali dati e li cancellerà, a condizione che il Cliente ne informi Corsearch con almeno 30 giorni di anticipo), che in nessun caso includono copie di dati personali trattati da Corsearch e/o da un sub-responsabile del trattamento di Corsearch per conto di un altro cliente di Corsearch, a meno che le leggi sulla protezione dei dati non prescrivano la conservazione di tali dati personali del Cliente.

11. Revisione contabile

Il cliente o un revisore terzo incaricato dal cliente, vincolato da adeguati obblighi di riservatezza, può verificare il rispetto della presente DSV da parte di Corsearch come segue:

- richiedendo a Corsearch di compilare il questionario sulla valutazione della sicurezza del cliente e/o
- richiedendo, ove pertinente e qualora Corsearch ne disponga, copie di informazioni, registrazioni, certificazioni e rapporti di prova adeguati redatti da terzi indipendenti e affidabili, a condizione che, dal momento del rilascio della certificazione o del rapporto di prova, non siano intervenute modifiche sostanziali alle misure di protezione adottate da Corsearch.

12. Disposizioni specifiche delle leggi sulla protezione dei dati

12.1 CCPA/CRPA. La presente sezione si applica solo se i dati personali del cliente sono soggetti al CCPA/CRPA
:

12.2.1. Le seguenti definizioni devono inoltre essere interpretate in modo da fare riferimento alla corrispondente definizione contenuta nel CCPA: «Cliente» indica«Azienda (Business)», «Corsearch» indica«Fornitore di servizi (Service Provider)» e «dati personali» indica«informazioni personali (Personal Information)»
12.2.2. Corsearch si astiene dal (a) vendere o divulgare i dati personali del Cliente, (b) conservare, utilizzare o divulgare i dati personali del Cliente per scopi diversi (compresi quelli commerciali) rispetto alla fornitura dei servizi nell’ambito del presente Contratto o in altro modo ai sensi del CCPA, (c) conservare, utilizzare o divulgare i dati personali del cliente al di fuori del rapporto commerciale diretto tra il cliente e Corsearch,
, se non per la fornitura dei servizi previsti dal contratto, oppure (d) combinare i dati personali del cliente con informazioni personali provenienti da altre fonti.

12.2 PIPL. La presente sezione si applica solo qualora i dati personali del cliente siano soggetti al PIPL:

12.2.1. Le seguenti definizioni devono inoltre essere interpretate in modo da fare riferimento alla corrispondente definizione contenuta nel PIPL: «dati personali» indica«informazioni personali (Personal Information)», «cliente» indica«responsabile del trattamento dei dati personali (Personal Information Processor)», "Corsearch" significa "parte incaricata (Entrusted Party)" e"dati sensibili"indica i dati personali che, se divulgati o utilizzati in modo improprio, sono idonei a violare la dignità personale di una persona fisica o a mettere a rischio la sua sicurezza personale o la sicurezza dei suoi beni, inclusi i dati personali relativi all'identificazione biometrica, alle convinzioni religiose, all'identità, allo stato di salute, alla situazione finanziaria, alla posizione e agli spostamenti, nonché i dati personali di minori di età inferiore ai 14 anni.
12.2.2. Nell’ambito del presente contratto, Corsearch tratta esclusivamente informazioni personali che sono state comunicate dagli interessati stessi.
12.2.3. Sono considerati trasferimenti internazionali i trasferimenti transfrontalieri di informazioni personali ai sensi del PIPL, e Corsearch ha adottato misure adeguate e applicabili ai sensi della presente DSV affinché tali trasferimenti avvengano in conformità con il PIPL.
12.2.4. Il cliente non trasmette dati sensibili a Corsearch.

ALLEGATO A – AMBITO DELL’INTERVENTO