Addendum Protezione Dati

Addendum sulla Protezione dei Dati di Transparent Business Solution B.V.

Il presente Addendum sulla Protezione dei Dati ("Addendum") si applica a Transparent Business Solution B.V. nonché alle sue altre denominazioni commerciali con cui opera, come Cyberclaims (di seguito tutte denominate "l'Organizzazione") e disciplina le loro operazioni, i Termini di Servizio del sito web, nonché qualsiasi altro accordo scritto o elettronico che incorpori il presente Addendum (di seguito tutti denominati "Contratto di Servizio"). In ciascuno di questi casi, l'Addendum mira a stabilire i protocolli tra la Società e i suoi partner, clienti e altri fornitori di dati operativi (di seguito tutti denominati "Cliente").

Il Cliente stipula il presente Addendum per conto proprio e di eventuali Affiliate autorizzate a utilizzare i Servizi ai sensi del Contratto di Servizio e che non abbiano stipulato un accordo contrattuale separato con l'Organizzazione. Ai soli fini del presente Addendum, e salvo diversa indicazione, i riferimenti al "Cliente" includeranno il Cliente e tali Affiliate.

Le Parti convengono con il presente che i termini e le condizioni di seguito riportati siano aggiunti come Addendum al Contratto di Servizio.

1. Definizioni

Nel presente Addendum, i seguenti termini hanno i significati di seguito indicati e i termini affini saranno interpretati di conseguenza:

"Affiliata" indica un'entità che possiede o controlla, è posseduta o controllata da, o è sotto controllo o proprietà comune con il Cliente o l'Organizzazione (a seconda del contesto), dove il controllo è definito come il possesso, diretto o indiretto, del potere di dirigere o far dirigere la gestione e le politiche di un'entità, sia attraverso la proprietà di titoli con diritto di voto, sia per contratto o altro.

"Dati Personali del Cliente" indica qualsiasi Dato Personale fornito o reso disponibile dal Cliente all'Organizzazione o raccolto dall'Organizzazione per conto del Cliente che è Trattato dall'Organizzazione per fornire i Servizi.

"Clausole Contrattuali Standard da Titolare a Responsabile" indica le clausole contrattuali standard per i trasferimenti transfrontalieri pubblicate dalla Commissione europea il 4 giugno 2021 che disciplinano il trasferimento di Dati Personali dello Spazio Europeo verso Paesi Terzi come adottate dalla Commissione europea, dal Commissario federale svizzero per la protezione dei dati e l'informazione ("Swiss FDPIC") relativamente ai trasferimenti di dati verso Paesi Terzi (collettivamente "SCC UE"); (ii) l'addendum internazionale per il trasferimento dei dati ("UK Transfer Addendum") adottato dall'Information Commissioner's Office del Regno Unito ("UK ICO") per i trasferimenti di dati dal Regno Unito verso Paesi Terzi; o (iii) qualsiasi clausola simile adottata da un'autorità di controllo della protezione dei dati in relazione ai trasferimenti di Dati Personali verso Paesi Terzi, incluse senza limitazione eventuali clausole successive.

"Leggi sulla Protezione dei Dati" indica qualsiasi legge locale, statale o nazionale riguardante il trattamento dei Dati Personali applicabile all'Organizzazione nelle giurisdizioni in cui i Servizi sono forniti al Cliente, incluse, senza limitazione, le leggi sulla privacy, la sicurezza e la protezione dei dati.

"Spazio UE" indica l'Unione Europea, lo Spazio Economico Europeo, il Regno Unito e la Svizzera.

"Legge dello Spazio UE" indica (i) la Direttiva 95/46/CE e, dal 25 maggio 2018, il Regolamento (UE) 2016/679 ("GDPR UE") insieme alla legislazione applicabile che lo attua o lo integra o che comunque riguarda il trattamento dei Dati Personali delle persone fisiche; (ii) il Data Protection Act 1998 del Regno Unito e il GDPR UE come recepito nel diritto del Regno Unito in virtù della sezione 3 dell'European Union (Withdrawal) Act 2018 del Regno Unito (il "GDPR UK"); (iii) la Legge federale svizzera sulla protezione dei dati del 19 giugno 1992 e la sua Ordinanza ("Swiss DPA"); (iv) qualsiasi altra legge relativa alla protezione dei dati, alla sicurezza o alla privacy delle persone che si applica nello Spazio UE; o (v) qualsiasi successore o emendamento (incluse, senza limitazione, l'attuazione del GDPR UE da parte degli Stati membri nel loro diritto nazionale).

"Incidente di Sicurezza" indica qualsiasi violazione della sicurezza che comporti la distruzione, la perdita, l'alterazione, la divulgazione non autorizzata o l'accesso accidentale o illecito ai Dati Personali del Cliente Trattati dall'Organizzazione.

"Servizi" indica i servizi da fornire dall'Organizzazione al Cliente o alle Affiliate del Cliente ai sensi del Contratto di Servizio.

"Paese Terzo" indica i paesi che, ove richiesto dalle Leggi sulla Protezione dei Dati applicabili, non hanno ricevuto una decisione di adeguatezza da un'autorità competente in materia di trasferimenti transfrontalieri di Dati Personali, incluse autorità di controllo come la Commissione europea, l'UK ICO o lo Swiss FDPIC.

I termini "Business", "Finalità Commerciale", "scopo commerciale", "Contraente", "Titolare", "Interessato", "Dati Personali", "Violazione dei Dati Personali", "Trattamento", "Responsabile", "Vendita", "Fornitore di Servizi", "Condivisione", "Sub-responsabile", "Autorità di Controllo" e "Terza Parte" hanno gli stessi significati descritti nelle Leggi sulla Protezione dei Dati applicabili e i termini affini saranno interpretati di conseguenza.

I termini con iniziale maiuscola non altrimenti definiti nel presente Addendum hanno i significati loro attribuiti nel Contratto di Servizio.

2. Ambito dell'Addendum

Il presente Addendum si applica al Trattamento dei Dati Personali del Cliente da parte dell'Organizzazione ai sensi del Contratto di Servizio nella misura in cui tale Trattamento è soggetto alle Leggi sulla Protezione dei Dati. Il presente Addendum è disciplinato dalla legge applicabile del Contratto di Servizio, salvo diversa disposizione richiesta dalle Leggi sulla Protezione dei Dati.

3. Ruoli delle Parti

Le Parti riconoscono e concordano che, per quanto riguarda il Trattamento dei Dati Personali del Cliente, e come più ampiamente descritto nell'Allegato 1 del presente Addendum, il Cliente agisce come Business o Titolare, e l'Organizzazione agisce come Fornitore di Servizi o Responsabile. Il presente Addendum si applica esclusivamente al Trattamento dei Dati Personali del Cliente da parte dell'Organizzazione che agisce come Responsabile, Sub-responsabile o Terza Parte (come specificato nell'Allegato 1).

Le Parti convengono espressamente che il Cliente è l'unico responsabile di garantire comunicazioni tempestive alle Affiliate del Cliente o ai Titolari competenti che ricevono i Servizi, nella misura in cui tali comunicazioni possano essere richieste o utili alla luce delle Leggi sulla Protezione dei Dati applicabili per consentire alle Affiliate del Cliente o ai Titolari competenti di conformarsi a tali Leggi.

Il Cliente è l'unico responsabile del rispetto delle leggi sulla notifica degli Incidenti di Sicurezza applicabili al Cliente e dell'adempimento di qualsiasi obbligo di notifica alle autorità governative, alle persone interessate o ad altri in relazione a qualsiasi Incidente di Sicurezza.

4. Descrizione e Finalità del Trattamento dei Dati Personali

Nell'Allegato 1 del presente Addendum, le Parti hanno reciprocamente stabilito la loro comprensione dell'oggetto e dei dettagli del Trattamento dei Dati Personali del Cliente da Trattare da parte dell'Organizzazione ai sensi del presente Addendum. Le Parti possono apportare modifiche ragionevoli all'Allegato 1 previo accordo scritto reciproco e nella misura ragionevolmente necessaria per soddisfare tali requisiti o per rispondere ai requisiti delle Leggi sulla Protezione dei Dati di volta in volta. L'Allegato 1 non crea alcun obbligo o diritto per nessuna Parte.

La finalità del Trattamento ai sensi del presente Addendum è la fornitura dei Servizi ai sensi del Contratto di Servizio e di eventuali Moduli d'Ordine.

5. Termini del Trattamento dei Dati

Il Cliente deve rispettare tutte le Leggi sulla Protezione dei Dati applicabili in relazione all'esecuzione del presente Addendum e al Trattamento dei Dati Personali del Cliente. In relazione al suo accesso e utilizzo dei Servizi, il Cliente deve Trattare i Dati Personali del Cliente all'interno di tali Servizi e fornire all'Organizzazione istruzioni in conformità con le Leggi sulla Protezione dei Dati applicabili. Tra le Parti, il Cliente è l'unico responsabile del rispetto delle Leggi sulla Protezione dei Dati applicabili riguardanti la raccolta e il trasferimento all'Organizzazione dei Dati Personali del Cliente. Il Cliente accetta di non fornire all'Organizzazione alcun dato riguardante la salute, la religione di una persona fisica o qualsiasi categoria speciale di dati come definita all'articolo 9 del GDPR.

L'Organizzazione deve rispettare tutte le Leggi sulla Protezione dei Dati applicabili nel Trattamento dei Dati Personali del Cliente e l'Organizzazione deve:

Trattare i Dati Personali del Cliente per le finalità del Contratto di Servizio e per le finalità specifiche in ciascun caso come stabilito nell'Allegato 1 del presente Addendum e altrimenti esclusivamente secondo le istruzioni documentate del Cliente, al fine di fornire i Servizi e come altrimenti necessario per adempiere ai suoi obblighi ai sensi del Contratto di Servizio. Il Contratto di Servizio, il presente Addendum e l'utilizzo da parte del Cliente delle funzionalità e funzioni dei Servizi costituiscono le istruzioni scritte del Cliente all'Organizzazione in relazione al Trattamento dei Dati Personali del Cliente, incluso quanto segue:

1.1 L'Organizzazione deve utilizzare, conservare, divulgare o altrimenti Trattare i Dati Personali del Cliente solo per conto del Cliente e per lo scopo commerciale specifico di fornire i Servizi e in conformità con le istruzioni del Cliente, incluso quanto descritto nel Contratto di Servizio. L'Organizzazione non deve Vendere o Condividere i Dati Personali del Cliente, né utilizzare, conservare, divulgare o altrimenti Trattare i Dati Personali del Cliente al di fuori del suo rapporto commerciale con il Cliente o per qualsiasi altro scopo (incluso lo scopo commerciale dell'Organizzazione) salvo quanto richiesto o consentito dalla legge. L'Organizzazione deve informare immediatamente il Cliente (a) se l'Organizzazione determina di non essere più in grado di soddisfare i propri obblighi ai sensi delle Leggi sulla Protezione dei Dati o (b) se, secondo l'opinione dell'Organizzazione, un'istruzione viola le Leggi sulla Protezione dei Dati applicabili. Il Cliente si riserva il diritto di adottare misure ragionevoli e appropriate per garantire che il Trattamento dei Dati Personali del Cliente da parte dell'Organizzazione sia coerente con gli obblighi del Cliente ai sensi della Legge sulla Protezione dei Dati e di interrompere e porre rimedio all'uso non autorizzato dei Dati Personali del Cliente.

1.2 L'Organizzazione ha il diritto di trattare i Dati Personali del Cliente esclusivamente (i) nella misura necessaria per (a) eseguire le Finalità Commerciali e i suoi obblighi ai sensi del Contratto di Servizio; (b) gestire, amministrare, testare, mantenere e migliorare i Servizi anche come parte delle sue operazioni commerciali; (c) divulgare statistiche aggregate sui Servizi in modo che prevenga l'identificazione o la ri-identificazione individuale dei Dati Personali del Cliente, incluse senza limitazione qualsiasi dispositivo individuale o persona individuale; e/o (d) proteggere i Servizi da una minaccia ai Servizi o ai Dati Personali del Cliente; o (ii) se richiesto da un ordine del tribunale o di un'agenzia governativa autorizzata, a condizione che sia data preventiva comunicazione al Cliente; (iii) come altrimenti espressamente autorizzato dal Cliente.

1.3 L'Organizzazione non combinerà i Dati Personali del Cliente che l'Organizzazione Tratta per conto del Cliente con Dati Personali che riceve da o per conto di un'altra persona o persone, o raccoglie dalla propria interazione con l'individuo, a condizione che l'Organizzazione possa combinare informazioni personali per eseguire qualsiasi Finalità Commerciale consentita o richiesta ai sensi del Contratto di Servizio per fornire i Servizi.

Attuare e mantenere misure progettate per garantire che il personale dell'Organizzazione autorizzato a trattare i Dati Personali del Cliente si sia impegnato alla riservatezza o sia soggetto a un adeguato obbligo legale di riservatezza, salvo che la divulgazione sia richiesta dalla legge o da regolamenti professionali.

Attuare e mantenere le misure tecniche e organizzative stabilite nel Contratto di Servizio e, tenendo conto dello stato dell'arte, dei costi di attuazione e della natura, dell'ambito, del contesto e delle finalità del Trattamento nonché del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, attuare e mantenere qualsiasi ulteriore misura amministrativa, tecnica e organizzativa commercialmente ragionevole e appropriata progettata per garantire un livello di sicurezza adeguato al rischio del Trattamento dei Dati Personali del Cliente in conformità con l'articolo 32 del GDPR, e specificamente:

3.1 Pseudonimizzazione e crittografia dei Dati Personali del Cliente.

3.2 Garantire la riservatezza, l'integrità, la disponibilità e la resilienza continue dei sistemi e dei servizi di trattamento dell'Organizzazione che trattano i Dati Personali del Cliente.

3.3 Ripristinare tempestivamente la disponibilità e l'accesso ai Dati Personali del Cliente in caso di incidente fisico o tecnico.

3.4 Testare, valutare e verificare regolarmente l'efficacia delle misure tecniche e organizzative per garantire la sicurezza del trattamento dei Dati Personali del Cliente.

Il Cliente accetta con il presente che l'Organizzazione è generalmente autorizzata a coinvolgere e nominare Sub-responsabili, e specificamente i Sub-responsabili elencati nell'Allegato 2 del presente Addendum, subordinatamente a quanto segue da parte dell'Organizzazione:

4.1 Notificare al Cliente almeno trenta (30) giorni di calendario prima di qualsiasi modifica o aggiunta prevista ai suoi Sub-responsabili elencati nell'Allegato 2 mediante invio di una notifica via email della modifica prevista al Cliente.

4.2 Includere obblighi di protezione dei dati nel suo contratto con ciascun Sub-responsabile sostanzialmente identici a quelli stabiliti nel presente Addendum.

4.3 Rimane responsabile nei confronti del Cliente per qualsiasi inadempimento da parte di ciascun Sub-responsabile dei suoi obblighi in relazione al Trattamento dei Dati Personali del Cliente.

In relazione a qualsiasi notifica ricevuta ai sensi della sezione 4.2(d)(i), il Cliente avrà un periodo di 30 (trenta) giorni dalla data della notifica per informare l'Organizzazione per iscritto di qualsiasi obiezione ragionevole per motivi di protezione dei dati all'uso di quel Sub-responsabile. Le parti poi, per un periodo non superiore a 30 (trenta) giorni dalla data dell'obiezione del Cliente, collaboreranno in buona fede per tentare di trovare una soluzione commercialmente ragionevole per il Cliente che eviti l'uso del Sub-responsabile contestato. Qualora tale soluzione non possa essere trovata, ciascuna Parte può (nonostante qualsiasi disposizione contraria nel Contratto di Servizio) risolvere i Servizi pertinenti immediatamente con comunicazione scritta all'altra Parte, senza danni, penalità o indennizzo di alcun tipo (ma senza pregiudizio per eventuali commissioni sostenute dal Cliente prima della risoluzione).

Nella misura legalmente consentita, notificare prontamente al Cliente in caso di qualsiasi richiesta legalmente vincolante (ovvero divulgazioni richieste dalla legge, da un ordine del tribunale o da un mandato di comparizione) per la divulgazione dei Dati Personali del Cliente da parte dell'Organizzazione. Nel caso in cui non sia legalmente vincolante, i Dati Personali del Cliente non saranno divulgati e l'Organizzazione notificherà al Cliente il rifiuto di tale richiesta. Sarà mantenuto un registro di tutte le richieste di divulgazione legalmente vincolanti relative ai Dati Personali del Cliente.

Nella misura legalmente consentita, notificare prontamente al Cliente qualsiasi comunicazione da un Interessato riguardante il Trattamento dei Dati Personali del Cliente, o qualsiasi altra comunicazione (anche da un'Autorità di Controllo) relativa a qualsiasi obbligo ai sensi delle Leggi sulla Protezione dei Dati applicabili in materia di Dati Personali del Cliente. L'Organizzazione non risponderà a tale richiesta o reclamo se non espressamente autorizzata a farlo dal Cliente o se altrimenti tenuta a rispondere ai sensi delle Leggi sulla Protezione dei Dati applicabili. Tenendo conto della natura del Trattamento, l'Organizzazione assisterà ragionevolmente il Cliente (o il Titolare competente) con misure tecniche e organizzative appropriate, nella misura in cui ciò sia possibile, per l'adempimento dell'obbligo del Cliente, delle Affiliate del Cliente o del Titolare competente di rispondere alle richieste di esercizio dei diritti dell'interessato di cui al Capo III del GDPR. Il Cliente accetta di pagare l'Organizzazione per il tempo e per le spese vive sostenute dall'Organizzazione in relazione all'esecuzione dei suoi obblighi ai sensi della presente Sezione 4.2(e).

Non appena l'Organizzazione viene a conoscenza di una Violazione dei Dati Personali che coinvolge i Dati Personali del Cliente, notificare al Cliente senza indebito ritardo qualsiasi Violazione dei Dati Personali che coinvolga i Dati Personali del Cliente, tale notifica deve includere, nella misura ragionevolmente disponibile all'Organizzazione, tutte le informazioni tempestive ragionevolmente richieste dal Cliente (o dal Titolare competente) per conformarsi ai suoi obblighi di segnalazione delle violazioni dei dati ai sensi delle Leggi sulla Protezione dei Dati applicabili. L'Organizzazione adotterà inoltre tutte le misure e le azioni necessarie per rimediare o attenuare gli effetti di tale Incidente di Sicurezza e manterrà il Cliente ragionevolmente informato degli sviluppi riguardanti i Dati Personali del Cliente. Il Cliente riconosce che la notifica di un Incidente di Sicurezza da parte dell'Organizzazione non è un riconoscimento da parte dell'Organizzazione della sua colpa o responsabilità. Gli Incidenti di Sicurezza non includono tentativi o attività non riusciti che non compromettono la sicurezza dei Dati Personali del Cliente, inclusi tentativi di accesso non riusciti, ping, scansioni di porte, attacchi denial of service o altri attacchi di rete a firewall o sistemi in rete.

Nella misura richiesta dalle Leggi sulla Protezione dei Dati applicabili, fornire ragionevole assistenza al Cliente, alle Affiliate del Cliente o al Titolare competente per i suoi obblighi ai sensi degli articoli da 32 a 36 del GDPR tenendo conto della natura del Trattamento e delle informazioni disponibili all'Organizzazione. Il Cliente accetta di pagare l'Organizzazione per il tempo e per le spese vive sostenute dall'Organizzazione in relazione a qualsiasi assistenza fornita in relazione agli articoli 35 e 36 del GDPR.

Cessare il Trattamento dei Dati Personali del Cliente alla risoluzione o scadenza del Contratto di Servizio e, a scelta del Cliente, delle Affiliate del Cliente o del Titolare competente, restituire o cancellare (anche assicurando che tali dati siano in formato non leggibile) tutte le copie dei Dati Personali del Cliente Trattati dall'Organizzazione, a meno che (e solo nella misura e per il periodo in cui) la legge applicabile richieda all'Organizzazione di conservare alcuni o tutti i Dati Personali del Cliente. Qualsiasi Dato Personale del Cliente così conservato rimarrà soggetto agli obblighi di riservatezza stabiliti nel Contratto di Servizio.

L'Organizzazione deve mantenere i registri necessari a supporto della dimostrazione della conformità ai suoi obblighi (come specificato nel contratto applicabile) per il trattamento dei Dati Personali del Cliente effettuato per conto del Cliente.

Mettere a disposizione del Cliente tutte le informazioni ragionevolmente necessarie per dimostrare la conformità al presente Addendum e consentire e contribuire a audit, incluse ispezioni, da parte del Cliente, o di un revisore terzo indipendente incaricato dal Cliente, a condizione che il Cliente dia all'Organizzazione un ragionevole preavviso della sua intenzione di effettuare l'audit, conduca il suo audit durante il normale orario di lavoro dell'Organizzazione e adotti tutte le misure ragionevoli per prevenire inutili interruzioni delle operazioni dell'Organizzazione. Ai fini della dimostrazione della conformità al presente Addendum ai sensi della presente Sezione 4.2(i), le Parti convengono che in prima istanza, una volta all'anno durante la durata del Contratto di Servizio (salvo se e quando richiesto da istruzione di un'Autorità di Controllo competente o quando il Cliente ritenga necessario un ulteriore audit a causa di una Violazione dei Dati Personali riguardante i Dati Personali del Cliente subita dall'Organizzazione), l'Organizzazione fornirà al Cliente risposte a valutazioni di cybersecurity e altre valutazioni e solo quando il Cliente non possa stabilire la conformità dell'Organizzazione al presente Addendum dalle risposte dell'Organizzazione il Cliente richiederà di ispezionare le operazioni di trattamento dell'Organizzazione. Il Cliente accetta di pagare l'Organizzazione per il tempo e per le spese vive sostenute dall'Organizzazione in relazione all'assistenza fornita in relazione a tali audit, risposte a valutazioni di cybersecurity e altre valutazioni.

6. Garanzie

Le Parti garantiscono che esse e qualsiasi membro del personale e/o subappaltatore rispetteranno i rispettivi obblighi ai sensi delle Leggi sulla Protezione dei Dati per tutta la durata.

7. Trasferimenti Limitati

Le parti convengono che quando il trasferimento dei Dati Personali del Cliente dal Cliente e/o da qualsiasi sua Affiliata (come esportatore) all'Organizzazione (come importatore) è un Trasferimento Limitato e si applica la Legge dello Spazio UE, il trasferimento sarà soggetto alle appropriate SCC da Titolare a Responsabile, che si riterranno incorporate e formeranno parte del presente Addendum come segue:

In relazione ai Dati Personali del Cliente protetti dal GDPR UE e trattati dall'Organizzazione per conto e sotto l'istruzione del Cliente, le SCC UE si applicheranno completate come segue:

1.1 Si applicherà il Modulo Due (trasferimenti da titolare a responsabile).

1.2 Nella Clausola 7 si applicherà la clausola di adesione opzionale.

1.3 Nella Clausola 9 si applicherà l'Opzione 2 e il periodo di preavviso per le modifiche dei sub-responsabili sarà quello stabilito nella Sezione 4.2(d) del presente Addendum.

1.4 Nella Clausola 11 la lingua opzionale non si applicherà.

1.5 Nella Clausola 17 si applicherà l'Opzione 1 e le SCC UE saranno disciplinate dalla legge irlandese.

1.6 Nella Clausola 18(b), le controversie saranno risolte davanti ai tribunali della Repubblica d'Irlanda.

1.7 L'Allegato I delle SCC UE si riterrà completato con le informazioni stabilite nell'Allegato 1 del presente Addendum.

1.8 L'Allegato II delle SCC UE si riterrà completato con le informazioni stabilite nella Sezione 4 dell'Allegato 1 del presente Addendum.

In relazione ai Dati Personali del Cliente protetti dalla Swiss DPA, le SCC UE si applicheranno in conformità con la Sezione 5.1(a) del presente Addendum, ma con le seguenti modifiche:

2.1 Qualsiasi riferimento nelle SCC UE al "Regolamento (UE) 2016/679" sarà interpretato come riferimento alla Swiss DPA e agli articoli o sezioni equivalenti in essa contenuti.

2.2 Qualsiasi riferimento a "UE", "Unione", "Stato membro" e "diritto dello Stato membro" sarà interpretato come riferimento alla Svizzera e al diritto svizzero, a seconda dei casi.

2.3 Qualsiasi riferimento all'"autorità di controllo competente" e ai "tribunali competenti" sarà interpretato come riferimento all'autorità di protezione dei dati e ai tribunali competenti in Svizzera.

2.4 Le SCC da Titolare a Responsabile saranno disciplinate dalle leggi della Svizzera e le controversie saranno risolte davanti ai tribunali svizzeri competenti.

In relazione ai Dati Personali del Cliente protetti dal GDPR UK, le SCC UE si applicheranno in conformità con la Sezione 5.1(a) del presente Addendum, ma come modificate e interpretate dalle Clausole Obbligatorie della Parte 2 dell'UK Addendum, che saranno incorporate e formeranno parte integrante del presente Addendum. Qualsiasi conflitto tra i termini delle SCC UE e dell'UK Addendum sarà risolto in conformità con la Sezione 10 e la Sezione 11 dell'UK Addendum. Inoltre, le tabelle da 1 a 3 della Parte 1 dell'UK Addendum saranno completate rispettivamente con le informazioni stabilite nell'Allegato I del presente Addendum, e la tabella 4 della Parte 1 dell'UK Addendum si riterrà completata selezionando sia "Importatore" che "Esportatore".

L'Organizzazione tratterà i Dati Personali utilizzando tecnologie di IA e machine learning nella Regione dell'Aia, Paesi Bassi, in conformità con i termini del presente Addendum e le Leggi sulla Protezione dei Dati applicabili, incluso il Regolamento generale sulla protezione dei dati (GDPR). Lo scopo di tale trattamento tramite IA è limitato ai servizi forniti dallo strumento dell'Organizzazione. L'Organizzazione garantirà che qualsiasi trattamento tramite IA dei Dati Personali sia condotto solo nella misura necessaria per raggiungere le finalità specificate.

L'Organizzazione non parteciperà a nessun altro Trasferimento Limitato dei Dati Personali del Cliente (né come importatore né come esportatore dei Dati Personali del Cliente) a meno che il Trasferimento Limitato sia effettuato in conformità con la Legge sulla Protezione dei Dati applicabile e ai sensi delle pertinenti Clausole Contrattuali Standard attuate tra il pertinente esportatore e importatore dei Dati Personali del Cliente, come necessario per conformarsi alla Legge sulla Protezione dei Dati applicabile.

Il Cliente dovrebbe rivedere regolarmente tutti i trasferimenti internazionali di Dati Personali caso per caso al fine di monitorare nuovi rischi a causa dei cambiamenti nelle leggi locali, nelle pratiche sui dati, ecc., e implementare salvaguardie aggiuntive (come la crittografia o la pseudonimizzazione) per attenuare i rischi identificati al fine di garantire che i Dati Personali rimangano protetti allo standard richiesto dalle Leggi sulla Protezione dei Dati.

Meccanismo di trasferimento. Quando una parte si trova al di fuori del SEE o di un paese adeguato e riceve Dati Personali: (a) quella parte agirà come importatore dei dati, (b) l'altra parte è l'esportatore dei dati, e (c) si applicherà il pertinente Meccanismo di Trasferimento. "Meccanismo di Trasferimento" si riferisce a qualsiasi mezzo lecito di trasferire dati personali dallo Spazio Economico Europeo (SEE) o da qualsiasi paese adeguato verso un paese terzo in conformità con le leggi applicabili sulla protezione dei dati. Ciò può includere, ma non è limitato a, quanto segue:

Clausole Contrattuali Standard (SCC) approvate dalla Decisione della Commissione europea del 4 giugno 2021 (come modificate di volta in volta) per il trasferimento di dati personali dal SEE o da paesi adeguati verso un paese terzo.
Accordo Internazionale sul Trasferimento dei Dati rilasciato dall'Information Commissioner's Office (ICO) ai sensi della Sezione 119A del Data Protection Act 2018, efficace dal 21 marzo 2022.
Addendum Internazionale sul Trasferimento dei Dati rilasciato dall'Information Commissioner's Office (ICO) ai sensi della Sezione 119A del Data Protection Act 2018, efficace dal 21 marzo 2022.

Misure aggiuntive. Se il Meccanismo di Trasferimento è insufficiente a salvaguardare i Dati Personali trasferiti, l'importatore dei dati implementerà prontamente misure supplementari per garantire che i Dati Personali siano protetti allo stesso standard richiesto dalle Leggi sulla Protezione dei Dati.

Divulgazioni. Fatto salvo i termini del pertinente Meccanismo di Trasferimento, se l'importatore dei dati riceve una richiesta da un'autorità pubblica di accedere ai Dati Personali, esso (se legalmente consentito): contesterà la richiesta e notificherà prontamente l'esportatore dei dati al riguardo, e divulgherà all'autorità pubblica solo la quantità minima di Dati Personali richiesta e manterrà un registro della divulgazione.

8. Precedenza

Le disposizioni del presente Addendum sono integrative rispetto alle disposizioni del Contratto di Servizio. In caso di qualsiasi incoerenza tra le disposizioni del presente Addendum e le disposizioni del Contratto di Servizio, avranno priorità in questo ordine: (a) qualsiasi Clausola Contrattuale Standard o altra misura concordata dalle parti (Meccanismi di Trasferimento Transfrontaliero), (b) il presente Addendum, (c) il Contratto di Servizio. Nel caso in cui qualsiasi disposizione del presente Addendum e/o del Contratto di Servizio contraddica, direttamente o indirettamente, le SCC da Titolare a Responsabile, prevarranno le SCC da Titolare a Responsabile.

9. Indennizzo

Nella misura consentita dalla legge, il Cliente deve (a) difendere l'Organizzazione e le sue Affiliate (collettivamente, "Parti Indennizzate") da e contro qualsiasi e tutte le richieste, domande, azioni o procedimenti fatti o intentati contro qualsiasi delle Parti Indennizzate da qualsiasi terza parte (ciascuno, un "Reclamo"), e (b) indennizzare e tenere indenne le Parti Indennizzate da e contro qualsiasi e tutte le perdite, danni, responsabilità, multe e sanzioni amministrative, penalità, transazioni e costi e spese di qualsiasi tipo (inclusi, senza limitazione, ragionevoli onorari e spese legali, investigativi e di consulenza) sostenuti o subiti da qualsiasi delle Parti Indennizzate, in ciascun caso derivanti da qualsiasi violazione da parte del Cliente del presente Addendum o dei suoi obblighi ai sensi delle Leggi sulla Protezione dei Dati applicabili. L'Organizzazione può partecipare alla difesa e/o alla transazione di un Reclamo ai sensi della presente Sezione 9 con un consulente di sua scelta a proprie spese.

10. Severabilità

Le Parti convengono che, se qualsiasi sezione o sotto-sezione del presente Addendum è ritenuta da qualsiasi tribunale o autorità competente illegale o inapplicabile, ciò non invaliderà o renderà inapplicabile qualsiasi altra sezione del presente Addendum.

11. Disposizioni Varie

L'Addendum considera quanto segue e si conforma a:

Privacy by Design e per impostazione predefinita
Ottenere la sicurezza del Trattamento
Notifica delle violazioni che coinvolgono i Dati Personali del Cliente all'Autorità di Controllo competente
Notifica delle violazioni che coinvolgono i Dati Personali del Cliente al Cliente
Esecuzione di una Valutazione d'Impatto sulla Privacy ove appropriato e richiesto dalla Legge sulla Protezione dei Dati applicabile
Assicurazione dell'assistenza dell'Organizzazione se sono necessarie consultazioni preventive con le Autorità di Controllo competenti e richieste dalle Leggi sulla Protezione dei Dati applicabili.

L'organizzazione deve conformarsi a tutti i requisiti statutari e regolamentari, ISO 27001:2013, ISO 27701:2019 e GDPR UE.

Nel caso in cui un Interessato desideri esercitare i suoi diritti di interessato ai sensi della Legge sulla Protezione dei Dati applicabile, inclusi, ma non limitati a, il diritto di accesso, correzione e/o cancellazione dei suoi Dati Personali sotto il controllo dell'Organizzazione, gli Interessati possono presentare tale richiesta contattando il Responsabile della Protezione dei Dati (DPO) dell'Organizzazione di seguito. Inoltre, sollevare preoccupazioni e/o qualsiasi reclamo relativo ai Dati Personali del Cliente può essere fatto contattando il Responsabile della Protezione dei Dati di seguito:

Nome: Julia Blokhina

Email: contact@cyberclaims.net

Non vengono generati file temporanei durante il trattamento.

Allegato 1 all'Addendum sulla Protezione dei Dati

Descrizione delle Attività di Trattamento per i Dati Personali del Cliente

Il presente Allegato include alcuni dettagli del Trattamento dei Dati Personali del Cliente da parte dell'Organizzazione in relazione ai Servizi.

1. Elenco delle Parti

Esportatore dei Dati

Nome: Cliente (come definito nel Contratto di Servizio)

Indirizzo: Come indicato nel pertinente Modulo d'Ordine dei Servizi.

Nome, posizione e recapiti della persona di contatto: Come indicato nel pertinente Modulo d'Ordine dei Servizi.

Attività rilevanti per i dati trasferiti ai sensi delle presenti Clausole: Destinatario dei Servizi forniti dall'Organizzazione in conformità con il Contratto di Servizio.

Firma e data: La firma e la data sono stabilite nel Contratto di Servizio.

Ruolo (titolare/responsabile): Titolare

Importatore dei Dati

Nome: Transparent Business Solutions B.V.

Indirizzo: Kalvermarkt 53, 2511 CB, L'Aia, Paesi Bassi

Nome, posizione e recapiti della persona di contatto: Julia Blokhina, contact@cyberclaims.net

Attività rilevanti per i dati trasferiti ai sensi delle presenti Clausole: Fornitura dei Servizi al Cliente in conformità con il Contratto di Servizio.

Firma e data: La firma e la data sono stabilite nel Contratto di Servizio.

Ruolo (titolare/responsabile): Responsabile

2. Autorità di Controllo Competente

Identificare l'autorità/le autorità di controllo competente/i in conformità (ad esempio in conformità con la Clausola 13 delle SCC): Come determinato dall'applicazione della Clausola 13 delle SCC UE.

3. Informazioni sul Trattamento

Categorie di interessati i cui dati personali sono trasferiti: Utenti autorizzati dei Servizi del Cliente

Categorie di dati personali trasferiti:

Trattati automaticamente dai Servizi:

Nomi
ID email

Trattati ove e nella misura forniti dal Cliente o dai suoi utenti autorizzati in relazione ai servizi di audit forniti dall'Organizzazione:

Indirizzo
Data di nascita
Dettagli di impieghi passati

Dati personali sensibili trasferiti: Nessuno

Frequenza del trasferimento: Continuo

Natura del trattamento: La natura del trattamento è più ampiamente descritta nel Contratto di Servizio e nei moduli d'ordine allegati ma includerà le seguenti attività di trattamento di base: La fornitura di Servizi al Cliente. Al fine di fornire dati sulle persone, l'Organizzazione riceve Dati Personali del Cliente identificativi per consentire all'Organizzazione di interrogare, ripulire, standardizzare, arricchire, (quando richiesto) inviare dati aggiuntivi ai fornitori di feed e conservare le informazioni di interrogazione.

Lo scopo del trasferimento è facilitare l'esecuzione dei Servizi più ampiamente descritti nel Contratto di Servizio e nei moduli d'ordine allegati.

Finalità del trasferimento dei dati e dell'ulteriore trattamento:

Per il trattamento che coinvolge consumatori della California, selezionare la/e Finalità Commerciale/i per il Trattamento dei Dati Personali:

☐ N/A
☐ Audit relativi al conteggio delle impressioni pubblicitarie verso visitatori unici, verifica del posizionamento e della qualità delle impressioni pubblicitarie e audit di conformità a questa specifica e ad altri standard
☒ Aiutare a garantire la sicurezza e l'integrità nella misura in cui l'uso delle informazioni personali del consumatore è ragionevolmente necessario e proporzionato a tali fini
☒ Debug per identificare e riparare errori che compromettono la funzionalità esistente prevista.
☐ Uso a breve termine, transitorio, incluso, ma non limitato a, pubblicità non personalizzata mostrata come parte dell'interazione corrente del consumatore con l'azienda, a condizione che le informazioni personali del consumatore non siano divulgate a un'altra terza parte e non siano utilizzate per costruire un profilo sul consumatore o altrimenti alterare l'esperienza del consumatore al di fuori dell'interazione corrente con l'azienda
☒ Esecuzione di servizi per conto dell'azienda, inclusi il mantenimento o la gestione di account, la fornitura di servizi al Cliente, l'elaborazione o l'evasione di ordini e transazioni, la verifica delle informazioni del Cliente, l'elaborazione dei pagamenti, la fornitura di finanziamenti, la fornitura di servizi analitici, la fornitura di archiviazione o la fornitura di servizi simili per conto dell'azienda.
☐ Fornitura di servizi pubblicitari e di marketing, ad eccezione della pubblicità comportamentale cross-context, al consumatore a condizione che, ai fini della pubblicità e del marketing, un fornitore di servizi o contraente non combini le informazioni personali dei consumatori che hanno rinunciato che il fornitore di servizi o contraente riceve da, o per conto di, l'azienda con informazioni personali che il fornitore di servizi o contraente riceve da, o per conto di, un'altra persona o persone o raccoglie dalla propria interazione con i consumatori.
☒ Intraprendere ricerca interna per lo sviluppo e la dimostrazione tecnologica.
☒ Intraprendere attività per verificare o mantenere la qualità o la sicurezza di un servizio o dispositivo di proprietà, prodotto, prodotto per, o controllato dall'azienda, e per migliorare, aggiornare o potenziare il servizio o dispositivo di proprietà, prodotto, prodotto per o controllato dall'azienda.
☒ Conservare e impiegare un altro fornitore di servizi o contraente come subappaltatore ove il subappaltatore soddisfi i requisiti per un fornitore di servizi o contraente ai sensi del CCPA.
☒ Costruire o migliorare la qualità dei servizi che sta fornendo all'azienda anche se questa Finalità Commerciale non è specificata nel contratto scritto richiesto dal CCPA a condizione che il Fornitore di Servizi non utilizzi i Dati Personali del Cliente per eseguire Servizi per conto di un'altra persona.
☒ Prevenire, rilevare o indagare su incidenti di sicurezza dei dati o proteggere da attività malevole, ingannevoli, fraudolente o illegali, anche se questa Finalità Commerciale non è specificata nel contratto scritto.

Periodo per il quale i dati personali saranno conservati o criteri utilizzati per determinare tale periodo: Il periodo per il quale i Dati Personali del Cliente saranno conservati è più ampiamente descritto nel Contratto di Servizio, nell'Addendum e nei moduli d'ordine allegati.

Trasferimenti a sub-responsabili - oggetto, natura e durata del trattamento: L'oggetto, la natura e la durata del Trattamento sono più ampiamente descritti nel Contratto di Servizio, nell'Addendum e nei moduli d'ordine allegati.

4. Misure di Sicurezza Tecniche e Organizzative

Descrizione delle misure di sicurezza tecniche e organizzative attuate dall'Organizzazione come responsabile/importatore dei dati per garantire un livello di sicurezza appropriato, tenendo conto della natura, dell'ambito, del contesto e delle finalità del trattamento, e dei rischi per i diritti e le libertà delle persone fisiche.

Sistema di Gestione della Sicurezza

Organizzazione. L'organizzazione designa personale di sicurezza qualificato le cui responsabilità includono lo sviluppo, l'implementazione e la manutenzione continua del Programma di Sicurezza delle Informazioni.

Politiche. La direzione esamina e supporta tutte le politiche relative alla sicurezza per garantire la sicurezza, la disponibilità, l'integrità e la riservatezza dei Dati Personali del Cliente. Queste politiche sono aggiornate almeno una volta all'anno.

Valutazioni. L'organizzazione incarica una reputata terza parte indipendente di eseguire valutazioni del rischio di tutti i sistemi contenenti Dati Personali del Cliente almeno una volta all'anno.

Trattamento del Rischio. L'organizzazione mantiene un programma formale ed efficace di trattamento del rischio che include penetration testing, gestione delle vulnerabilità e gestione delle patch per identificare e proteggere da potenziali minacce alla sicurezza, all'integrità o alla riservatezza dei Dati Personali del Cliente.

Gestione dei Fornitori. L'Organizzazione mantiene un efficace programma di gestione dei fornitori.

Gestione degli Incidenti. L'Organizzazione esamina regolarmente gli incidenti di sicurezza, inclusa l'efficace determinazione della causa principale e dell'azione correttiva.

Standard. L'Organizzazione opera un sistema di gestione della sicurezza delle informazioni che è conforme ai requisiti dello standard ISO/IEC 27001:2013.

Sicurezza del Personale

Il personale dell'Organizzazione è tenuto a comportarsi in modo coerente con le linee guida dell'azienda riguardanti la riservatezza, l'etica aziendale, l'uso appropriato e gli standard professionali. L'Organizzazione esegue controlli di background ragionevolmente appropriati su qualsiasi dipendente che avrà accesso ai dati del cliente ai sensi del presente Accordo, anche in relazione al background lavorativo e ai casellari giudiziari, nella misura legalmente consentita e in conformità con la legge sul lavoro locale applicabile, la prassi abituale e le normative statutarie.

Il personale è tenuto a firmare un accordo di riservatezza per iscritto al momento dell'assunzione e a proteggere i Dati Personali del Cliente in ogni momento. Il personale deve riconoscere la ricezione e il rispetto delle politiche di riservatezza, privacy e sicurezza dell'Organizzazione. Al personale viene fornita formazione sulla privacy e sulla sicurezza su come implementare e rispettare il Programma di Sicurezza delle Informazioni. Il personale che tratta i Dati Personali del Cliente è tenuto a completare requisiti aggiuntivi appropriati al proprio ruolo (ad es. certificazioni). Il personale dell'organizzazione non tratterà i Dati Personali del Cliente senza autorizzazione.

Controlli di Accesso

Gestione dell'Accesso. L'Organizzazione mantiene un processo formale di gestione dell'accesso per la richiesta, la revisione, l'approvazione e il provisioning di tutto il personale con accesso ai Dati Personali del Cliente per limitare l'accesso ai Dati Personali del Cliente e ai sistemi che conservano, accedono o trasmettono i Dati Personali del Cliente a persone debitamente autorizzate che hanno bisogno di tale accesso. Le revisioni dell'accesso sono condotte periodicamente per garantire che solo il personale con accesso ai Dati Personali del Cliente ne abbia ancora bisogno.

Personale di Sicurezza dell'Infrastruttura. L'Organizzazione ha e mantiene una politica di sicurezza per il suo personale e richiede formazione sulla sicurezza come parte del pacchetto di formazione per il suo personale. Il personale di sicurezza dell'infrastruttura dell'organizzazione è responsabile del monitoraggio continuo dell'infrastruttura di sicurezza dell'Organizzazione, della revisione dei Servizi e della risposta agli incidenti di sicurezza.

Controllo dell'Accesso e Gestione dei Privilegi. Gli amministratori e gli utenti finali dell'organizzazione e del Cliente devono autenticarsi tramite un sistema di autenticazione a più fattori o tramite un sistema di single sign-on per utilizzare i Servizi.

Processi e Politiche di Accesso ai Dati Interni - Politica di Accesso. I processi e le politiche di accesso ai dati interni dell'organizzazione sono progettati per proteggere da accesso, uso, divulgazione, alterazione o distruzione non autorizzati dei Dati Personali del Cliente. L'organizzazione progetta i suoi sistemi per consentire solo a persone autorizzate di accedere ai dati che sono autorizzate ad accedere in base ai principi di "minimo privilegio" e "necessità di sapere", e per impedire ad altri che non dovrebbero avere accesso di ottenere l'accesso. L'Organizzazione richiede l'uso di ID utente univoci, password complesse, autenticazione a due fattori ed elenchi di accesso attentamente monitorati per ridurre al minimo il potenziale di uso non autorizzato dell'account. La concessione o la modifica dei diritti di accesso si basa su: le responsabilità lavorative del personale autorizzato; i requisiti dei compiti lavorativi necessari per eseguire compiti autorizzati; una base di necessità di sapere; e deve essere in conformità con le politiche e la formazione sull'accesso ai dati interni dell'Organizzazione. Le approvazioni sono gestite da strumenti di workflow che mantengono registrazioni di audit di tutte le modifiche. L'accesso ai sistemi è registrato per creare una traccia di audit per la responsabilità. Ove le password siano impiegate per l'autenticazione (ad es. accesso alle workstation), le politiche sulle password seguono le pratiche standard del settore. Questi standard includono la complessità della password, la scadenza della password, il blocco della password, le restrizioni sul riutilizzo della password e la ri-richiesta della password dopo un periodo di inattività.

Sicurezza del Data Center e della Rete

Data Center

Infrastruttura. L'Organizzazione utilizza Google Cloud Platform (GCP) e ospita i suoi server su Kinsta.

Resilienza. L'Organizzazione sfrutta le funzionalità di ridondanza e alta disponibilità fornite dall'infrastruttura di Kinsta e dalla rete globale di GCP. Test regolari di Ripristino da Backup sono condotti per garantire la resilienza e la continuità delle operazioni.

Sistemi Operativi dei Server. I server dell'Organizzazione sono personalizzati per adattarsi all'ambiente applicativo e sono rafforzati per migliorare la sicurezza dei Servizi. È impiegato un robusto processo di revisione del codice per garantire la sicurezza del codice utilizzato per fornire i Servizi e per rafforzare le misure di sicurezza negli ambienti di produzione.

Disaster Recovery. L'organizzazione replica i dati su più sistemi per aiutare a proteggere da distruzione o perdita accidentale. L'organizzazione ha progettato e pianifica e testa regolarmente i suoi programmi di disaster recovery.

Log di Sicurezza. I sistemi dell'Organizzazione hanno la registrazione abilitata verso la rispettiva struttura di log di sistema al fine di supportare gli audit di sicurezza e monitorare e rilevare attacchi reali e tentati o intrusioni nei sistemi dell'Organizzazione.

Gestione delle Vulnerabilità. L'organizzazione esegue scansioni regolari delle vulnerabilità su tutti i componenti dell'infrastruttura del suo ambiente di produzione e sviluppo. Le vulnerabilità sono risolte su base di rischio, con patch di sicurezza Critiche, Alte e Medie per tutti i componenti installate il prima possibile commercialmente.

Reti e Trasmissione

Trasmissione dei Dati. Le trasmissioni sull'ambiente di produzione sono trasmesse tramite protocolli standard Internet.

Le Regole del Firewall VPC di Google Cloud Platform e le misure di sicurezza di livello enterprise di Kinsta sono in atto per l'ambiente di Produzione. Il firewall VPC di GCP fornisce regole firewall virtuali personalizzabili per controllare il traffico in entrata e in uscita, mentre Kinsta offre livelli di sicurezza aggiuntivi, inclusi protezione DDoS, firewall hardware e monitoraggio continuo.

Risposta agli Incidenti. L'organizzazione mantiene politiche e procedure di gestione degli incidenti, incluse procedure dettagliate di escalation degli incidenti di sicurezza. L'organizzazione monitora una varietà di canali di comunicazione per gli incidenti di sicurezza e il personale di sicurezza dell'Organizzazione reagirà prontamente a incidenti sospetti o noti, attenuerà gli effetti dannosi di tali incidenti di sicurezza e documenterà tali incidenti di sicurezza e i loro esiti.

Tecnologie di Crittografia. L'organizzazione rende disponibile la crittografia HTTPS (denominata anche SSL o TLS) per i dati in transito e implementa tecnologie di crittografia per i dati a riposo per garantire la sicurezza e la riservatezza dei Dati del Cliente.

Archiviazione, Isolamento, Autenticazione e Distruzione dei Dati. L'Organizzazione conserva i dati in un ambiente multi-tenant sui server di Google Cloud Platform (GCP) e sull'infrastruttura di hosting di Kinsta. I dati, il database dei Servizi e l'architettura del file system sono replicati su più regioni e zone all'interno di GCP per garantire alta disponibilità e tolleranza ai guasti. L'Organizzazione isola logicamente i dati dei diversi Clienti. Un sistema di autenticazione centrale è implementato su tutti i Servizi per migliorare la sicurezza uniforme dei dati. L'Organizzazione garantisce lo smaltimento sicuro dei Dati del Cliente attraverso una serie di robusti processi di distruzione dei dati in conformità con gli standard del settore.

Allegato 2

I Sub-responsabili dell'Organizzazione

Nome del Sub-responsabile	Descrizione del Trattamento	Ubicazione del Sub-responsabile
Zendesk	Servizi di gestione delle relazioni con i clienti (CRM) e ticketing	AUS
Google Workspace	Servizi di posta elettronica e database cloud	UE
Connecteam	Comunicazione interna	USA
Gmail	Servizi di posta elettronica	UE
Pandadoc	Firma elettronica	USA
Guidepost Solutions LLC	Indagini di tracciamento cripto	USA
CYBERTRACE PTY LTD	Indagini di tracciamento cripto	AUS

Fine dell'Addendum sulla Protezione dei Dati

Non lasciare che i truffatori la facciano franca

Contattaci oggi stesso per una revisione gratuita del tuo caso.

Avvia Processo Contattaci