ACCORDO DI PROTEZIONE DEI DATI PERSONALI

Il presente Accordo sulla protezione dei dati («DPA») costituisce parte integrante del Contratto quadro di servizio Corsearch o di qualsiasi altro accordo scritto stipulato tra Corsearch e il Cliente (il «Contratto»).
Qualora Corsearch tratti i Dati personali del Cliente nell’ambito dei Servizi, si applica il presente Accordo. Il presente Accordo non si applica ai Servizi di Marchio; Corsearch non tratta i Dati personali per conto del Cliente nell’ambito dei Servizi di Marchio. Corsearch è un responsabile del trattamento indipendente in relazione ai Servizi di Marchio.

1. Definizioni

I seguenti termini, quando sono scritti con l'iniziale maiuscola, hanno il significato indicato di seguito. Qualsiasi termine scritto con l'iniziale maiuscola utilizzato nel presente documento ma non definito in esso ha il significato indicato nel Contratto.

Per «Dati personali del Cliente» si intendono i dati personali descritti nell’Allegato A, trattati da o per conto di Corsearch per conto o a nome del Cliente, ai sensi del Contratto o in relazione ad esso, ivi compresa la fornitura dei Servizi, ma esclusi i Dati personali degli Utenti.

« Violazione dei dati » indica qualsiasi violazione della sicurezza dei Dati personali del Cliente che comporti la distruzione, la perdita, l’alterazione, la divulgazione non autorizzata o l’accesso accidentale o illegale ai Dati personali del Cliente, subita da Corsearch o da qualsiasi sub-subappaltatore e di cui Corsearch sia a conoscenza durante la Durata del Contratto, salvo nei casi in cui la violazione sia causata dal Cliente o da qualsiasi Utente.

Per «normative sulla protezione dei dati» si intendono tutte le leggi e i regolamenti vigenti in materia di protezione dei dati applicabili al trattamento dei Dati personali del Cliente ai sensi del Contratto, inclusi, a titolo esemplificativo ma non esaustivo, il Regolamento generale sulla protezione dei dati dell’UE 2016/679 (« GDPR» ), il GDPR promulgato dal Regno Unito ( «GDPR britannico »), il California Consumer Privacy Act del 2018 ( «CCPA» ), inclusa la versione modificata dal California Privacy Rights Act del 2020 ( «CPRA »), e la Legge sulla protezione delle informazioni personali della Repubblica Popolare Cinese ( «PIPL »), in ogni caso nella versione vigente e come di volta in volta aggiornata, modificata o sostituita.

«Richiesta dell’interessato » indica una richiesta valida presentata da un interessato o a suo nome in merito ai Dati personali del Cliente al fine di esercitare i diritti previsti dalle leggi sulla protezione dei dati.

«Trasferimento internazionale » indica un trasferimento di Dati personali del Cliente tra le Parti, dallo Spazio economico europeo (« SEE» ), il Regno Unito di Gran Bretagna e Irlanda del Nord (« Regno Unito ») e/o la Svizzera verso un paese terzo per il quale non è stato determinato che fornisca un livello adeguato di protezione dei Dati personali del Cliente ai sensi delle Leggi sulla protezione dei dati.

« CCT » indica, laddove si applichi il GDPR, le clausole contrattuali allegate alla Decisione di esecuzione della Commissione europea (UE) 2021/914 del 4 giugno 2021, così come adottate, modificate o sostituite dalla Commissione europea (« CCT UE »), e, quando si applica il GDPR britannico, l’addendum britannico sul trasferimento internazionale di dati alle clausole contrattuali tipo della Commissione europea per i trasferimenti internazionali di dati, così come adottato, modificato o aggiornato dall’Ufficio del Commissario per l’informazione, dal Parlamento o da un Segretario di Stato nel Regno Unito ( «CCT britanniche »).

«Dati personali sensibili» indica dati personali relativi a minori, o che rivelano l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale, i dati genetici, i dati biometrici che identificano in modo univoco una persona, i dati sanitari o i dati relativi alla vita sessuale o all'orientamento sessuale di una persona.

«Sub-subappaltatore» indica qualsiasi terza parte incaricata da Corsearch di eseguire attività di trattamento specifiche relative ai Dati personali del Cliente.

«Dati personali dell’Utente» indica i dati personali relativi agli Utenti, trattati da Corsearch per i propri scopi, tra cui: (i) fornire e garantire la sicurezza dei Servizi; (ii) consentire al Cliente e ai suoi Utenti l’accesso ai Dati personali del Cliente; e (iii) gestire le informazioni relative all’account e alla fatturazione; e (iv) comunicare con il Cliente per adempiere ai propri obblighi ai sensi del Contratto.

I termini «titolare del trattamento», «interessato», «organizzazione internazionale», «trattare»/«trattamento» (e i loro derivati), «responsabile del trattamento», «paese terzo», «impresa», «consumatore», «informazioni personali», «vendere », «condividere», «fornitore di servizi» e «autorità di controllo» hanno ciascuno il significato specificato nelle leggi sulla protezione dei dati.

2. Condizioni generali

2.1. Ruoli. Per quanto riguarda il trattamento dei Dati personali del Cliente da parte di ciascuna Parte, le Parti concordano che il Cliente agisca in qualità di titolare del trattamento e Corsearch in qualità di responsabile del trattamento. Le Parti riconoscono e concordano che Corsearch sarà un responsabile del trattamento indipendente in relazione ai Dati personali dell’Utente.

2.2 Conformità alle leggi. Nel rispettivo trattamento dei Dati personali del Cliente, ciascuna Parte si atterrà alle leggi sulla protezione dei dati che regolano tali Dati personali del Cliente allora sotto il proprio controllo.

2.3 Obblighi del Cliente. Il Cliente, per tutta la durata del trattamento dei Dati personali del Cliente:

– avrà la responsabilità di determinare le finalità e le modalità del trattamento dei dati personali da lui effettuato;
– si assicurerà che le istruzioni da lui fornite a Corsearch per il trattamento dei dati personali siano e rimangano conformi alla legge;
– sarà autorizzato a trasferire i dati personali dell’Utente a Corsearch; e
– – non divulgherà dati personali sensibili a Corsearch.

3. Dettagli del trattamento

3.1 L’Allegato A definisce gli obiettivi e la durata del trattamento, i tipi di dati personali e le categorie di interessati, nonché la natura del trattamento. Se l’Allegato A richiede un aggiornamento in qualsiasi momento durante la Durata del contratto, le Parti collaboreranno in buona fede per concordare reciprocamente l’aggiornamento per iscritto dell’Allegato A.

3.2 Corsearch tratterà i Dati personali del Cliente:

– solo nella misura necessaria all'adempimento dei propri obblighi ai sensi del Contratto; e
– in conformità alle istruzioni documentate e legittime del Cliente, a meno che Corsearch non sia altrimenti tenuta a trattarli per ottemperare a qualsiasi legge in materia di protezione dei dati, nel qual caso Corsearch informerà il Cliente di tale obbligo giuridico, a meno che ciò non sia vietato dalla legge.

3.3 Corsearch informerà immediatamente il Cliente qualora, a suo ragionevole giudizio, un'istruzione del Cliente relativa al trattamento dei suoi Dati personali violi le leggi sulla protezione dei dati. In tal caso, Corsearch non violerà il presente Accordo o il Contratto né sarà ritenuta responsabile per la mancata esecuzione di tale trattamento.

4. Sicurezza dei dati e violazioni dei dati

4.1 Corsearch si assicurerà che tutte le persone da essa autorizzate a trattare i Dati personali del Cliente ai fini della fornitura dei Servizi:

– si sono impegnate a rispettare la riservatezza o sono comunque soggette a un adeguato obbligo legale di riservatezza;
– nella misura di quanto commercialmente ragionevole da parte di Corsearch, dispongono delle competenze e della formazione sufficienti per il trattamento dei Dati personali del Cliente; e
– rispettano le leggi sulla protezione dei dati.

4.2 Corsearch, tenendo conto dello stato delle conoscenze, dei costi di attuazione e della natura, della portata, del contesto e delle finalità del trattamento, adotterà e manterrà misure tecniche e organizzative adeguate per proteggere i Dati personali del Cliente da una violazione dei dati, come specificato qui. Corsearch rivedrà e potrà aggiornare tali misure tecniche e organizzative di volta in volta, a condizione che qualsiasi aggiornamento di questo tipo non riduca in modo significativo il livello complessivo di sicurezza dei Dati personali del Cliente.

4.3 In caso di violazione dei dati, Corsearch:

4.3.1. informerà il Cliente nel più breve tempo possibile (e in ogni caso entro 72 ore) dal momento in cui viene a conoscenza del verificarsi di una violazione dei dati;
4.3.2. fornirà tutte le informazioni ragionevolmente necessarie, in modo graduale qualora le informazioni non siano disponibili nella loro interezza, senza ulteriori ritardi ingiustificati, includendo almeno:

– la natura della violazione dei dati, comprese, ove possibile, le categorie e il numero approssimativo di persone interessate e di registrazioni di dati personali coinvolte;
– il nome e i recapiti del referente presso il quale è possibile ottenere ulteriori informazioni;
– le probabili conseguenze della violazione dei dati;
– descriverà le misure adottate per porre rimedio alla violazione dei dati personali, comprese, se del caso, le misure volte ad attenuare le eventuali conseguenze negative;

4.3.3. fornirà tutta la collaborazione e l’assistenza ragionevolmente richieste dal Cliente per adempiere ai propri obblighi ai sensi delle leggi sulla protezione dei dati;
4.3.4. adotterà le misure ragionevoli e necessarie per porre rimedio alla causa e mitigare l’impatto della Violazione dei dati; e
4.3.5. salvo nella misura richiesta dalle Leggi sulla protezione dei dati pertinenti, non notificherà a terzi (compresa qualsiasi autorità di controllo o persona interessata) in relazione alla Violazione dei dati.

4.4 Il Cliente si impegna a coordinarsi in buona fede con Corsearch in merito al contenuto di qualsiasi dichiarazione pubblica e/o comunicazione richiesta nei confronti degli interessati coinvolti e/o delle autorità di controllo competenti, qualora in ciascun caso si faccia specifico riferimento a Corsearch, ai dipendenti di Corsearch, a qualsiasi sub-subappaltatore e/o ai Servizi, in relazione a qualsiasi violazione dei dati.

5. Richieste delle persone interessate

5.1 Qualora Corsearch riceva direttamente una richiesta da parte dell’interessato, nella misura in cui Corsearch sia ragionevolmente in grado di identificare il Cliente come titolare del trattamento dei dati personali dell’interessato, Corsearch si adopererà con ogni ragionevole sforzo commerciale per inoltrare tempestivamente la richiesta dell’interessato al Cliente senza rispondere a tale richiesta.

5.2 Tenendo conto della natura del trattamento, Corsearch fornirà una cooperazione e un'assistenza ragionevoli per consentire al Cliente di rispondere alla Richiesta dell'interessato e di adempiere ai propri obblighi ai sensi delle leggi sulla protezione dei dati pertinenti. Nella misura consentita dalla legge, il Cliente sarà responsabile dei costi e delle spese ragionevoli sostenuti per l’assistenza fornita da Corsearch.

5.3 Salvo quanto espressamente concordato per iscritto, Corsearch non è e non sarà in nessuna circostanza tenuta a rispondere a qualsiasi Richiesta dell’interessato.

6. Richieste provenienti da governi o organismi di controllo

6.1 Qualora Corsearch riceva una richiesta da parte di un governo o di un’autorità di controllo, incluse, a titolo esemplificativo ma non esaustivo, una richiesta da parte di un’autorità di controllo o una richiesta di accesso giuridicamente vincolante emessa da un governo, in relazione ai Dati personali del Cliente e/o al trattamento da parte di Corsearch dei Dati personali del Cliente nell’ambito del presente DPA, Corsearch, salvo diversamente previsto dalla legge, ne informerà tempestivamente il Cliente senza rispondere a tale richiesta e inoltrerà la richiesta al Cliente.

6.2 Se Corsearch non ha il diritto legale di inviare una notifica al Cliente o di inoltrare la richiesta al Cliente, Corsearch (i) respingerà la richiesta, salvo che non sia giuridicamente obbligata a conformarvisi; oppure (ii) contesterà la validità di tale richiesta se ritiene ragionevolmente che la richiesta non sia giuridicamente fondata.

6.3 Se Corsearch è tenuta a rispondere a tale richiesta, Corsearch compirà ogni sforzo commercialmente ragionevole per ottenere un'esenzione al fine di notificare il Cliente e, in caso contrario, si assicurerà che le informazioni divulgate siano proporzionate e limitate alla quantità minima strettamente necessaria per ottemperare a tale richiesta.

6.4 Il Cliente sarà responsabile di tutti i costi sostenuti da Corsearch, incluse le spese legali ragionevoli effettivamente sostenute da Corsearch per ottemperare a tale richiesta e/o di tutti i costi e le spese ragionevoli derivanti dall’assistenza fornita da Corsearch al Cliente.

7. Valutazioni d'impatto relative alla protezione dei dati e consultazioni preliminari

Tenendo conto della natura del trattamento e delle informazioni a disposizione di Corsearch, Corsearch fornirà al Cliente l’assistenza ragionevolmente richiesta per consentire al Cliente di adempiere ai propri obblighi, per quanto riguarda i Dati personali del Cliente, al fine di effettuare valutazioni d’impatto relative alla protezione dei dati e/o consultare le autorità di controllo nell’ambito delle leggi sulla protezione dei dati.

8. Sub-subappaltatori

8.1 Con il presente documento il Cliente concede a Corsearch un'autorizzazione scritta generale a ricorrere a qualsiasi sub-subappaltatore, direttamente o tramite qualsiasi società affiliata di Corsearch, che Corsearch ritenga necessario per la fornitura dei Servizi, inclusi tutti i sub-subappaltatori già ingaggiati da Corsearch alla Data di entrata in servizio. Gli attuali sub-subappaltatori di Corsearch sono elencati qui.

8.2 Corsearch imporrà a ciascun sub-subappaltatore obblighi di protezione dei dati il cui livello di protezione non sia inferiore a quello degli obblighi enunciati nel presente DPA.

8.3 Corsearch rimarrà responsabile nei confronti del Cliente per l’adempimento degli obblighi di ciascun sub-subappaltatore.

8.4 Corsearch fornirà al Cliente un preavviso scritto di almeno 30 giorni in merito a qualsiasi modifica prevista riguardante l’aggiunta o la sostituzione dei Sub-subappaltatori. Corsearch fornisce al Cliente, tramite il link sopra menzionato, un meccanismo di registrazione per ricevere gli aggiornamenti dell’elenco dei Sub-subappaltatori, al quale il Cliente si iscriverà per ricevere tali notifiche.

8.5 Il Cliente può opporsi alla designazione di qualsiasi sub-subappaltatore qualora quest'ultimo abbia oggettivamente rappresentato o rischi di rappresentare un rischio per la sicurezza e il trattamento sicuro dei Dati personali del Cliente o per la capacità del Cliente di conformarsi alle leggi sulla protezione dei dati. In caso contrario, il Cliente non si opporrà irragionevolmente alla designazione di qualsiasi nuovo sub-subappaltatore e, se il Cliente non si oppone per iscritto alla designazione di qualsiasi nuovo sub-subappaltatore in conformità con la presente clausola, si riterrà che il Cliente abbia approvato tale designazione.

8.6 Se entro dieci (10) giorni dal ricevimento della comunicazione da parte del Cliente, il Cliente si opponga ragionevolmente per iscritto a Corsearch alla designazione di tale nuovo sub-subappaltatore, le Parti collaboreranno in buona fede per giungere a una soluzione reciprocamente accettabile al fine di rispondere a tale opposizione, incluso, ove possibile, il proseguimento da parte di Corsearch nella fornitura dei Servizi senza il coinvolgimento di tale nuovo sub-subappaltatore. Se le Parti non raggiungono una soluzione reciprocamente accettabile e Corsearch non è ragionevolmente in grado di continuare a fornire i Servizi senza il coinvolgimento di tale nuovo sub-subappaltatore, ciascuna Parte avrà il diritto di porre fine alla parte dei Servizi in questione alla quale è previsto che tale nuovo sub-subappaltatore sia associato (se ciò non è possibile, all'intero Contratto) immediatamente previa comunicazione scritta indirizzata all’altra Parte. Nulla nella presente Clausola esonera il Cliente dall’obbligo di pagamento dei costi relativi ai Servizi forniti da Corsearch e ricevuti dal Cliente fino alla data di cessazione qui indicata.

9. Trasferimenti internazionali

9.1 Corsearch può, nella misura necessaria alla fornitura dei Servizi, trasferire i Dati personali del Cliente alle proprie Società affiliate e/o a sub-subappaltatori al di fuori del SEE, a condizione che tale trasferimento (e qualsiasi trattamento successivo) avvenga in conformità con le leggi sulla protezione dei dati.

9.2 Qualora i Dati personali del Cliente vengano trasferiti verso un paese terzo e tale trasferimento costituisca un Trasferimento internazionale ai sensi delle Leggi sulla protezione dei dati, Corsearch stipulerà le CCT pertinenti con il Cliente e ciascuna delle sue Società affiliate e ciascuno dei suoi Sub-subappaltatori, se del caso. Le CCT stipulate dalle Parti, come qui qui, sono integrate nel presente DPA e tramite esso o tramite l’utilizzo dei Servizi. Qualora qualsiasi CCT su cui si basano le Parti venga aggiornato o altrimenti reso non valido, le Parti concordano che tali CCT nuovi o aggiornati, come eventualmente richiesti dalle leggi sulla protezione dei dati, si applicheranno tra le Parti senza necessità di modificare il presente DPA. Corsearch si riserva il diritto di apportare modifiche che le Parti sono tenute per legge ad attuare tramite il seguente link:

9.3 In caso di conflitto tra il presente DPA e le CCT applicabili, prevarranno le condizioni delle CCT applicabili.

10. Conservazione ed eliminazione dei dati

Alla scadenza o alla risoluzione del Contratto per qualsiasi motivo, Corsearch provvederà a cancellare tempestivamente (o, a scelta del Cliente, a restituire e cancellare, a condizione che il Cliente dia a Corsearch un preavviso di almeno 30 giorni) le copie esistenti dei Dati personali del Cliente, che in nessun caso includeranno copie di dati personali trattati per conto di un altro cliente di Corsearch, trattati da Corsearch e/o da qualsiasi Subappaltatoresub-subappaltatore, a meno che le leggi sulla protezione dei dati non richiedano la conservazione di tali Dati personali del Cliente.

11. Revisione contabile

Il Cliente, o qualsiasi revisore terzo incaricato dal Cliente e vincolato da adeguati obblighi di riservatezza, può verificare la conformità di Corsearch al presente DPA, mediante:

– richiedendo a Corsearch di compilare il questionario di valutazione della sicurezza del Cliente; e/o
– nella misura applicabile e disponibile per Corsearch, richiedendo copie delle informazioni, delle registrazioni, delle certificazioni e dei rapporti di audit appropriati emessi da terze parti indipendenti di chiara fama, a condizione che non siano state apportate modifiche significative ai controlli utilizzati da Corsearch dall’emissione della certificazione o del rapporto di audit.

12. Disposizioni specifiche delle leggi sulla protezione dei dati

12.1 CCPA / CRPA. La presente Sezione si applica esclusivamente qualora i Dati personali del Cliente siano soggetti al CCPA/CRPA:

12.2.1. Le seguenti definizioni saranno interpretate come riferite alla definizione corrispondente ai sensi del CCPA: «Cliente» indica «Azienda» («Business»); «Corsearch» indica «Fornitore di servizi » («Service Provider») e «Dati personali» indica «Informazioni personali » («Personal Information»).
12.2.2. Corsearch (a) non venderà né condividerà i Dati personali del Cliente, (b) non conserverà, utilizzerà né divulgherà i Dati personali del Cliente per alcun fine (compresi quelli commerciali) diverso dalla fornitura dei Servizi ai sensi del Contratto, o come altrimenti consentito dal CCPA, (c) non registrerà ai fini della realizzazione dei Servizi nell'ambito del Contratto, non conserverà, non utilizzerà né divulgherà Dati personali del Cliente al di fuori del rapporto professionale diretto tra il Cliente e Corsearch, (d) né combinerà i Dati personali del Cliente con Informazioni personali ricevute da un'altra fonte.

12.2 PIPL. La presente Sezione si applica esclusivamente qualora i Dati personali del Cliente siano soggetti al PIPL:

12.2.1. Le seguenti definizioni saranno interpretate come riferite alla definizione corrispondente ai sensi del PIPL: «Dati personali» indica «Informazioni personali » («Personal Information»); «Cliente» indica «Responsabile del trattamento dei dati personali » («Personal Information Processor»); «Corsearch» significa «Parte incaricata » («Entrusted Party»); e «Dati sensibili» significa le informazioni personali che potrebbero ledere la dignità personale di una persona fisica o la sua sicurezza personale o quella dei suoi beni materiali una volta divulgate o utilizzate in modo improprio, comprese le informazioni personali relative all’identificazione biometrica, alle convinzioni religiose, l’identità specifica, la salute medica, i conti finanziari e gli spostamenti, nonché le informazioni personali dei minori di età inferiore ai 14 anni.
12.2.2. Ai sensi del presente Contratto, Corsearch tratta solo le Informazioni personali che sono state rese pubbliche dagli stessi interessati.
12.2.3. 12.2.3. I Trasferimenti internazionali sono considerati trasferimenti transfrontalieri di Dati personali ai sensi del PIPL e Corsearch ha implementato misure adeguate e applicabili, come definite nel presente DPA, per garantire che tali trasferimenti siano effettuati in conformità con il PIPL.
12.2.4. Il Cliente non divulgherà Dati sensibili a Corsearch.

ALLEGATO A – AMBITO DEL TRATTAMENTO