Accordo di protezione dei dati Corsearch

Corsearch B.V., società a responsabilità limitata registrata nei Paesi Bassi con KVK 54875625 di Naritaweg 116, 1043 CA Amsterdam, Paesi Bassi ("Corsearch"); e ("Cliente").

Il presente accordo sulla protezione dei dati ("DPA") è parte integrante del Master Services Agreement di Corsearch o di un altro accordo scritto stipulato tra Corsearch e il cliente (il "Contratto").

1. Definizioni

I seguenti termini, quando compaiono con la lettera maiuscola, hanno il significato indicato di seguito. Tutti i termini in maiuscolo utilizzati ma non definiti nel presente documento hanno il significato indicato nel Contratto.

Per "Dati personali del Cliente" si intende qualsiasi dato personale, come descritto nell'Allegato A, trattato per o per conto del Cliente ai sensi del Contratto o in relazione ad esso, inclusa la fornitura dei Servizi, ma ad esclusione di qualsiasi Dato dell'Utente.

"Data Breach" indica qualsiasi distruzione accidentale o illecita, perdita, alterazione, perdita di controllo, divulgazione non autorizzata o accesso ai Dati personali del Cliente subiti da Corsearch o da qualsiasi Subprocessore di cui Corsearch venga a conoscenza durante il Periodo di validità, ad eccezione del caso in cui tale violazione sia causata dal Cliente o da qualsiasi Utente.

"Leggi sulla protezione dei dati" indica tutte le leggi e i regolamenti applicabili in materia di protezione dei dati che sono applicabili al trattamento dei Dati personali del Cliente ai sensi del Contratto, inclusi, a titolo esemplificativo e non esaustivo, il Regolamento generale sulla protezione dei dati dell'UE 2016/679 ("GDPR"), il GDPR come emanato dal Regno Unito ("UK GDPR"), il California Consumer Privacy Act del 2018 ("CCPA"), anche come modificato dal California Privacy Rights Act del 2020 e dai relativi regolamenti di attuazione ("CPRA"), e la legge sulla protezione delle informazioni personali della Repubblica Popolare Cinese ("PIPL"), in ogni caso nella misura in cui è in vigore, e come aggiornato, modificato o sostituito di volta in volta.

Per "Trasferimento internazionale" si intende il trasferimento dei Dati personali del cliente tra le Parti, dallo Spazio Economico Europeo ("SEE"), dal Regno Unito e/o dalla Svizzera verso un paese terzo che non è ritenuto in grado di fornire un'adeguata protezione dei Dati personali del cliente ai sensi delle Leggi sulla protezione dei dati.

"Richiesta di Privacy" indica, in relazione ai Dati Personali del Cliente: (i) una richiesta convalidata da parte di un soggetto interessato per l'esercizio di uno qualsiasi dei suoi diritti ai sensi delle Leggi sulla Protezione dei Dati; o (ii) qualsiasi reclamo, avviso o altra comunicazione da parte di un soggetto interessato o di un'autorità di controllo, autorità governativa o organo giudiziario;

Per "SCC" si intendono le clausole contrattuali allegate alla Decisione di esecuzione (UE) 2021/914 della Commissione europea del 4 giugno 2021, come adottate, modificate o sostituite dalla Commissione europea; e/o , l'addendum del Regno Unito sul trasferimento internazionale di dati alle clausole contrattuali standard della Commissione europea per i trasferimenti internazionali di dati, come adottato, modificato o aggiornato dall'Information Commissioner's Office, dal Parlamento o dal Segretario di Stato del Regno Unito (a seconda dei casi).

Per "sub-responsabile" si intende qualsiasi soggetto terzo incaricato da Corsearch di svolgere attività di trattamento dei Dati personali del cliente.

"Dati dell'Utente" indica i dati personali relativi agli Utenti, trattati da Corsearch per le proprie finalità, tra cui: (a) fornire e garantire la sicurezza dei Servizi; (b) concedere al Cliente e ai suoi Utenti l'accesso ai Dati personali del Cliente; (c) elaborare le informazioni sull'account e la fatturazione; e (d) comunicare con il Cliente al fine di adempiere agli obblighi previsti dal Contratto.

"decisione di adeguatezza", "responsabile del trattamento", "interessato", "trattamento" (e qualsiasi altra sua derivazione), "incaricato del trattamento", "paese terzo", "azienda", "consumatore", "dati personali", "vendere", "condividere", "dati personali sensibili", "fornitore di servizi" e "autorità di controllo" hanno ciascuno il significato specificato nelle Leggi sulla protezione dei dati.

2. Condizioni generali

2.1. Ruoli. Per quanto riguarda il trattamento dei Dati personali del Cliente da parte di ciascuna Parte, le Parti concordano che il Cliente agisca in qualità di titolare del trattamento e Corsearch in qualità di responsabile del trattamento, fermo restando tuttavia che le parti riconoscono e concordano che Corsearch sarà un titolare del trattamento indipendente in relazione al trattamento dei Dati dell’utente.

2.2 Conformità alle leggi. Nel trattamento dei Dati personali del Cliente, ciascuna Parte si atterrà alle Leggi sulla protezione dei dati che disciplinano tali Dati personali del Cliente mentre sono sotto il suo controllo.

2.3 Obblighi del Cliente. Il Cliente , per tutta la durata del trattamento dei Dati personali del Cliente, dovrà:

2.3.1 determinare le finalità e le modalità del trattamento dei Dati personali del Cliente;
2.3.2 garantire che le istruzioni impartite a Corsearch in merito al trattamento dei Dati personali del Cliente siano e rimangano legittime;
2.3.3 avere il diritto di trasferire i Dati dell’utente a Corsearch; e
2.3.4 non divulgare alcun Dato personale sensibile a Corsearch.

3. Dettagli del trattamento

3.1 L'Allegato A definisce le finalità e la durata del trattamento, le tipologie di dati personali, le categorie di interessati e la natura del trattamento. Qualora l'Allegato A debba essere aggiornato in qualsiasi momento nel corso della Durata, le Parti collaboreranno in buona fede per concordare per iscritto un Allegato A aggiornato.

3.2 Corsearch tratterà i Dati personali del Cliente:

3.2.1 esclusivamente nella misura necessaria e al solo scopo di adempiere agli obblighi previsti dal Contratto; e
3.2.2 in conformità alle istruzioni legittime e documentate del Cliente, a meno che Corsearch non sia tenuta a farlo per ottemperare a qualsiasi legge in materia di protezione dei dati; in tal caso, Corsearch informerà il Cliente di tale obbligo legale, salvo che ciò sia vietato dalla legge.

3.3 Corsearch informerà immediatamente il Cliente qualora, a suo ragionevole giudizio, un'istruzione impartita dal Cliente in relazione al trattamento dei Dati personali del Cliente violi le leggi sulla protezione dei dati. In tal caso, Corsearch non sarà ritenuta inadempiente al Contratto né sarà in alcun modo responsabile per la mancata esecuzione di tale trattamento.

4. Sicurezza dei dati e violazioni dei dati

4.1 Corsearch garantirà che tutte le persone che trattano i dati personali dei clienti:

4.1.1 si siano impegnati a rispettare la riservatezza o siano comunque soggetti a un adeguato obbligo legale di riservatezza, ciascuno dei quali garantisca ai Dati Personali del Cliente una tutela almeno pari a quella prevista dal Contratto e dal presente DPA;
4.1.2, nei limiti di quanto commercialmente ragionevole da parte di Corsearch, dispongano di competenze e formazione adeguate per il trattamento dei Dati Personali del Cliente; e
4.1.3 rispettino le Leggi sulla protezione dei dati.

4.2 Corsearch, tenendo conto dello stato dell'arte, dei costi di attuazione e della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, adotterà e manterrà misure tecniche e organizzative adeguate, come specificato qui. Corsearch riesaminerà e potrà aggiornare tali misure tecniche e organizzative di volta in volta, a condizione che tali aggiornamenti non riducano in modo sostanziale il livello complessivo di sicurezza dei Dati Personali del Cliente.

4.3 In caso di violazione dei dati, Corsearch provvederà a:

4.3.1. informare il Cliente senza indebito ritardo (e in ogni caso entro 72 ore) dal momento in cui viene a conoscenza di tale violazione dei dati;
4.3.2. fornire tutte le informazioni ragionevolmente necessarie, qualora queste non siano disponibili nella loro interezza, in più fasi e senza ulteriori indebiti ritardi, includendo almeno:

a. la natura della violazione dei dati, indicando, ove possibile, le categorie e il numero approssimativo degli interessati e dei record di dati personali coinvolti;
b. il nome e i recapiti del referente per ulteriori informazioni;
c. le probabili conseguenze della violazione dei dati;
d. una descrizione delle misure adottate per far fronte alla violazione dei dati, comprese, se del caso, le misure volte a mitigare i suoi possibili effetti negativi;

4.3.3. fornire la collaborazione e l'assistenza ragionevolmente richieste dal Cliente per adempiere agli obblighi previsti dalle leggi sulla protezione dei dati;
4.3.4. adottare le misure ragionevoli per porre rimedio alla causa della violazione dei dati e mitigarne l'impatto; e
4.3.5. salvo nella misura richiesta dalle leggi sulla protezione dei dati applicabili, non effettuare alcuna notifica a terzi (comprese le autorità di controllo o gli interessati) in relazione alla violazione dei dati.

4.4 Il Cliente si impegna a coordinarsi in buona fede con Corsearch per quanto riguarda il contenuto di eventuali dichiarazioni pubbliche e/o di eventuali comunicazioni richieste agli interessati e/o alle autorità di controllo competenti che il Cliente effettua, in ogni caso se si riferiscono specificamente a Corsearch, ai suoi dipendenti, a eventuali Subprocessori e/o ai Servizi, in merito a qualsiasi Data Breach.

5. Richieste di privacy

5.1 Qualora Corsearch riceva una richiesta di privacy relativa ai dati personali del cliente, Corsearch, nella misura in cui ciò sia legalmente consentito, (i) informerà tempestivamente il cliente dopo aver identificato quest'ultimo come responsabile del trattamento dei dati; (ii) rifiuterà la richiesta e incaricherà la terza parte di rivolgerla direttamente al cliente; e (iii) fornirà alla terza parte le informazioni di contatto del cliente, senza rispondere a tale richiesta.

5.2 Se Corsearch è costretta a rispondere a tale richiesta di privacy, Corsearch farà (se del caso) sforzi commercialmente ragionevoli per garantire che le informazioni divulgate siano proporzionate e limitate alla quantità minima strettamente necessaria per soddisfare tale richiesta.

5.3 Tenendo conto della natura del trattamento, Corsearch fornirà una collaborazione e un'assistenza ragionevoli per consentire al Cliente di rispondere o soddisfare (a seconda dei casi) una richiesta di privacy.

6. Valutazioni d'impatto sulla protezione dei dati e consultazioni preventive

Tenendo conto della natura del trattamento e delle informazioni a disposizione di Corsearch, Corsearch fornirà al cliente l'assistenza ragionevolmente richiesta per consentirgli di adempiere ai propri obblighi, in relazione ai dati personali del cliente, di effettuare valutazioni d'impatto sulla protezione dei dati e/o di consultare le autorità di controllo ai sensi delle leggi sulla protezione dei dati.

7. Sottoprocessori

7.1 Il Cliente concede a Corsearch un'autorizzazione generale scritta a ricorrere a uno o più sub-responsabili del trattamento, direttamente o tramite qualsiasi affiliata di Corsearch, che Corsearch ritenga necessari per la fornitura dei Servizi, inclusi tutti i sub-responsabili del trattamento già incaricati da Corsearch alla Data di Inizio. Gli attuali sub-responsabili del trattamento di Corsearch sono elencati qui.

7.2 Corsearch imporrà a ciascun Sub-responsabile del trattamento obblighi in materia di protezione dei dati che non siano di livello inferiore rispetto a quelli stabiliti nel presente DPA.

7.3 Corsearch rimarrà responsabile nei confronti del Cliente per l’adempimento degli obblighi di ciascun Sub-responsabile del trattamento.

7.4 Corsearch fornirà al Cliente un preavviso scritto di almeno 30 giorni in merito a qualsiasi modifica prevista riguardante l’aggiunta o la sostituzione di Sub-responsabili del trattamento. Corsearch fornisce al Cliente, tramite il link sopra indicato, un meccanismo per iscriversi e ricevere aggiornamenti sull’elenco dei Sub-responsabili del trattamento, al quale il Cliente si iscriverà per ricevere tali notifiche.

7.5 Il Cliente può opporsi alla nomina di qualsiasi Sub-responsabile del trattamento qualora tale Sub-responsabile abbia oggettivamente causato o possa causare un rischio per la sicurezza e il trattamento sicuro dei Dati Personali del Cliente o per la capacità del Cliente di ottemperare alle Leggi sulla Protezione dei Dati. In caso contrario, il Cliente non si opporrà irragionevolmente alla nomina di tale nuovo Sub-responsabile del trattamento e, qualora il Cliente non si opponga per iscritto alla nomina di tale nuovo Sub-responsabile del trattamento in conformità con la presente clausola, si riterrà che il Cliente abbia approvato tale nomina.

7.6 Se entro dieci (10) giorni dal ricevimento della comunicazione da parte del Cliente, quest'ultimo si oppone ragionevolmente per iscritto a Corsearch alla nomina di tale nuovo Sub-responsabile del trattamento, le Parti collaboreranno in buona fede per determinare una soluzione reciprocamente accettabile per risolvere tale obiezione, incluso, ove possibile, il proseguimento della fornitura dei Servizi da parte di Corsearch senza il coinvolgimento di tale nuovo Sub-responsabile del trattamento. Se le Parti non raggiungono una soluzione reciprocamente accettabile e Corsearch non è ragionevolmente in grado di continuare a fornire i Servizi senza il coinvolgimento di tale nuovo Sub-responsabile del trattamento, ciascuna Parte avrà il diritto di risolvere la parte pertinente dei Servizi a cui tale nuovo Sub-responsabile del trattamento è destinato a riferirsi (se non possibile, il Contratto nel suo complesso) immediatamente previa comunicazione scritta all’altra Parte. Nessuna disposizione della presente Clausola esonererà il Cliente da eventuali obblighi di pagamento relativi ai Servizi resi da Corsearch e ricevuti dal Cliente fino alla data di risoluzione ai sensi del presente Accordo.

8. Trasferimenti internazionali

8.1 Corsearch potrà, nella misura necessaria alla fornitura dei Servizi, trasferire i Dati Personali del Cliente alle proprie Affiliate e/o ai propri Sub-responsabili del trattamento al di fuori del SEE, a condizione che tale trasferimento (e qualsiasi successivo trattamento) sia effettuato in conformità con le Leggi sulla protezione dei dati.

8.2 Qualora i Dati Personali del Cliente vengano trasferiti verso un paese terzo e tale trasferimento costituisca un Trasferimento Internazionale ai sensi delle Leggi sulla Protezione dei Dati, Corsearch stipulerà le relative CCT con il Cliente e ciascuna delle sue Affiliate e dei suoi Sub-responsabili del trattamento, a seconda dei casi. Le CCT sottoscritte dalle Parti, come ivi stabilito qui, sono incorporati nel presente DPA e tramite il presente DPA o utilizzando i Servizi. Qualora le SCC su cui fanno affidamento le Parti vengano aggiornate o altrimenti invalidate, le Parti concordano che tali SCC nuove o aggiornate, come prescritto dalle leggi sulla protezione dei dati, si applicheranno tra le Parti senza necessità di modificare il presente DPA. Corsearch si riserva il diritto di apportare tali modifiche che le Parti sono tenute per legge ad attuare al link sopra indicato.

8.3 In caso di conflitto tra il presente DPA e le SCC applicabili, prevarranno i termini delle SCC applicabili.

9. Conservazione e cancellazione dei dati

9.1 In seguito alla scadenza o alla risoluzione del contratto per qualsiasi motivo, Corsearch può conservare i dati personali del cliente per un massimo di 30 giorni. Successivamente, a meno che la conservazione non sia richiesta dalle leggi sulla protezione dei dati, Corsearch cancellerà tempestivamente i Dati personali del cliente, che non includeranno le copie dei dati personali trattati per conto di un altro cliente di Corsearch, elaborati da Corsearch e/o da eventuali subprocessori.

9.2 A condizione che il Cliente dia a Corsearch un preavviso scritto di almeno 30 giorni, Corsearch restituirà al Cliente tutte le copie esistenti dei Dati personali del Cliente.

10. Audit

Il cliente o qualsiasi revisore terzo da lui incaricato, vincolato da ragionevoli obblighi di riservatezza, può verificare l'osservanza della presente DPA da parte di Corsearch e attraverso:

a. richiedere a Corsearch di compilare il questionario di valutazione della sicurezza del Cliente; e/o
b. nella misura in cui ciò sia applicabile e a disposizione di Corsearch, richiedere copie delle informazioni, dei documenti, delle certificazioni e dei rapporti di audit pertinenti rilasciati da terze parti indipendenti e affidabili, a condizione che non siano intervenuti cambiamenti sostanziali nei controlli utilizzati da Corsearch a partire dal momento del rilascio della certificazione o del rapporto di audit.

11. Leggi sulla protezione dei dati Disposizioni specifiche

11.1 CCPA / CRPA. La presente sezione si applica esclusivamente se i Dati personali del Cliente sono soggetti al CCPA / CPRA:

11.2.1. Le seguenti definizioni saranno interpretate in modo da fare riferimento alla corrispondente definizione ai sensi del CCPA: per “Cliente” si intende“Azienda”; per “Corsearch” si intende“Fornitore di servizi”e per “dati personali” si intende“Informazioni personali”.
11.2.2. Corsearch non (a) venderà né condividerà i Dati personali del Cliente né divulgherà i Dati personali del Cliente a fini di pubblicità mirata o di profilazione, (b) conservare, utilizzare o divulgare i Dati personali del Cliente per qualsiasi scopo (incluso uno scopo commerciale) diverso dalla fornitura dei Servizi ai sensi del Contratto, o come altrimenti consentito dal CCPA (c) salvo che per lo scopo di eseguire i Servizi ai sensi del Contratto, conservare, utilizzare o divulgare i Dati personali del Cliente al di fuori del rapporto commerciale diretto tra il Cliente e Corsearch, o (d) combinare i Dati personali del Cliente con le Informazioni personali ricevute da un'altra fonte.

11.2 PIPL. La presente sezione si applica esclusivamente se i Dati Personali del Cliente sono soggetti alla PIPL:

12.2.1. Le seguenti definizioni saranno interpretate in modo da fare riferimento alla definizione corrispondente ai sensi del PIPL: per «Dati personali» si intende«Informazioni personali»; per «Cliente» si intende «Responsabiledel trattamentodelle informazioni personali»; per «Corsearch» si intende«Soggetto incaricato»; e per “Dati Sensibili” si intendono le informazioni personali che potrebbero causare danni alla dignità personale di qualsiasi persona fisica o danni alla sua sicurezza personale o patrimoniale una volta divulgate o sottratte, incluse le informazioni personali relative all’identificazione biometrica, al credo religioso, all’identità specifica, alla salute medica, al conto finanziario e alla posizione e ai percorsi, nonché le informazioni personali di minori di età inferiore ai 14 anni.
11.2.2. Ai sensi del presente Accordo, Corsearch tratta esclusivamente i Dati Personali che sono stati resi pubblici dagli stessi interessati.
11.2.3. I Trasferimenti Internazionali sono considerati trasferimenti transfrontalieri di Dati Personali ai sensi del PIPL e Corsearch è responsabile dell'attuazione di misure adeguate e applicabili, come definite nel presente DPA e nelle Leggi sulla Protezione dei Dati, per garantire che tali trasferimenti siano effettuati in conformità con il PIPL.

SCHEDA A - AMBITO DI TRATTAMENTO